Política de Privacidade

Quem Somos

Esta Política de Privacidade descreve como Ciosanna LLC, uma sociedade de responsabilidade limitada constituída nos Estados Unidos, que opera sob o nome comercial Ciosanna Connect ("Ciosanna," "nós," "nos," ou "nosso/nossa"), coleta, utiliza, divulga, retém, protege e, de outro modo, processa informações pessoais em conexão com a plataforma Ciosanna, o website CiosannaConnect.com, os aplicativos móveis e web da Ciosanna, os canais de suporte ao cliente e comunicação, e todos os serviços, funcionalidades, conteúdos e recursos relacionados (coletivamente, os "Serviços").

A Ciosanna é uma empresa de titularidade de veterano. Nosso endereço postal principal é 714 W 2nd St, Waitsburg, WA 99361. Você pode nos contatar em relação a esta Política de Privacidade ou a qualquer questão relacionada à privacidade pelo endereço support@ciosanna.com. Atualmente não oferecemos os Serviços na União Europeia e, portanto, não designamos um representante na União nos termos do Artigo 27 do GDPR; um representante será designado antes de qualquer lançamento dos Serviços na União Europeia.

A Quem Esta Política Se Aplica

Esta Política de Privacidade aplica-se a todos os indivíduos que interagem com a Ciosanna ou cujas informações pessoais processamos no curso da prestação dos Serviços. Isso inclui, sem limitação:

• Visitantes — qualquer pessoa que visita, navega ou de outro modo acessa o website de marketing CiosannaConnect.com, incluindo indivíduos que solicitam informações, assinam um boletim informativo, agendam uma demonstração, nos contatam por meio de um formulário web ou interagem com nosso assistente de vendas de inteligência artificial.
• Clientes (também denominados "Assinantes," "Inquilinos," "Empresas," ou contas "Boss") — empresas que assinam a plataforma Ciosanna, bem como seus representantes autorizados, incluindo proprietários de empresas, administradores de imóveis e membros da equipe.
• Residentes — indivíduos que residem, arrendam ou estão de outro modo associados a um imóvel gerenciado por meio da plataforma Ciosanna, incluindo candidatos, residentes atuais e ex-residentes, bem como membros de seu agregado familiar ou co-candidatos, quando aplicável.
• Proprietários de Imóveis (também denominados "Investidores") — pessoas físicas ou jurídicas que possuem imóveis gerenciados por um Cliente da Ciosanna e acessam o portal do investidor.
• Fornecedores — prestadores de serviços terceirizados, contratados ou pessoal de manutenção que acessam o portal do fornecedor para receber, aceitar, executar ou documentar ordens de serviço.
• Outros Indivíduos — qualquer outra pessoa natural cujas informações pessoais possam ser processadas em conexão com os Serviços, incluindo funcionários, agentes ou contatos de Clientes, Proprietários ou Fornecedores; contatos de emergência de Residentes; representantes legais; e indivíduos que de outro modo nos contatam.

Esta Política aplica-se independentemente da forma como você interage com os Serviços — por meio de nossos websites, aplicativos móveis, APIs, canais de suporte ao cliente, e-mail, correspondência postal, telefone ou presencialmente.

Termos Definidos

• "Informações Pessoais" significa qualquer informação que identifique, se relacione, descreva, seja razoavelmente capaz de ser associada ou possa razoavelmente ser vinculada, direta ou indiretamente, a uma pessoa natural específica ou a um domicílio. Quando a legislação aplicável utilizar termo distinto (como "dados pessoais" no âmbito do Regulamento Geral de Proteção de Dados da União Europeia), esse termo terá o significado a ele atribuído pela referida legislação aplicável.
• "Informações Pessoais Sensíveis" significa o subconjunto de Informações Pessoais sujeito a proteção reforçada nos termos da legislação aplicável, incluindo números de identificação emitidos por órgãos governamentais, informações de contas financeiras, geolocalização precisa, origem racial ou étnica, crenças religiosas, orientação sexual, cidadania ou situação migratória, informações de saúde, informações biométricas e o conteúdo de correspondências físicas, mensagens de correio eletrônico e mensagens de texto.
• "Tratamento" significa qualquer operação ou conjunto de operações realizadas sobre Informações Pessoais, incluindo coleta, registro, organização, armazenamento, recuperação, utilização, divulgação, alinhamento, combinação, restrição, eliminação ou destruição.
• "Dados do Cliente" significa Informações Pessoais relativas a Residentes, Proprietários, Fornecedores ou outros indivíduos vinculados a um Cliente, fornecidas ou geradas pelos Serviços por ou em nome de um Cliente. Quando realizamos o Tratamento de Dados do Cliente em nome de um Cliente, o Cliente é, em regra, o "controlador" (GDPR) ou a "empresa" (CCPA), e a Ciosanna atua como "operador" ou "prestador de serviços". Quando realizamos o Tratamento de Informações Pessoais para nossas próprias finalidades (por exemplo, dados de Visitantes em nosso site de marketing), a Ciosanna atua como controladora ou empresa.
• "Cio" significa os recursos com tecnologia de inteligência artificial integrados aos Serviços, incluindo o Cio AI Assistant disponível a usuários autenticados na plataforma e o Cio Sales Agent disponível a Visitantes no site de marketing.
• "Suboperador" significa um fornecedor de serviços terceirizado que realiza o Tratamento de Informações Pessoais em nosso nome para fins de suporte aos Serviços.

Relação Entre Esta Política e os Contratos com Clientes

Quando a Ciosanna realiza o Tratamento de Dados do Cliente em nome de um Cliente, esse Tratamento também é regido pelo contrato celebrado entre a Ciosanna e o Cliente, incluindo eventual Adendo de Tratamento de Dados. Em caso de conflito entre esta Política de Privacidade e um contrato escrito celebrado com um Cliente no que se refere aos Dados do Cliente desse Cliente, prevalecerá o disposto no contrato escrito.

Caso você seja um Residente, Proprietário ou Fornecedor cujas informações são tratadas em conexão com o uso dos Serviços por um Cliente, observe que o Cliente (e não a Ciosanna) é quem, em regra, determina quais informações são coletadas de você, como são utilizadas no âmbito da relação de gestão imobiliária e por quanto tempo são retidas para os fins comerciais do Cliente. Para exercer direitos de privacidade em relação a Dados do Cliente, você deverá, em geral, contatar o Cliente primeiramente. Auxiliaremos os Clientes no atendimento de tais solicitações conforme exigido por lei.

Aceitação e Alterações

Ao acessar ou utilizar os Serviços, você reconhece que leu e compreendeu esta Política de Privacidade. Podemos atualizar esta Política de Privacidade periodicamente. Quando realizarmos alterações materiais, notificaremos você mediante a publicação da Política atualizada em nosso site, a atualização da data de "Última Atualização" no cabeçalho desta Política e, quando exigido por lei ou quando a alteração afetar materialmente a forma como realizamos o Tratamento de suas Informações Pessoais, mediante aviso adicional, tal como mensagem de correio eletrônico enviada ao endereço cadastrado ou notificação em destaque dentro do produto. O uso continuado dos Serviços após a data de vigência de uma Política atualizada constituirá sua aceitação da Política atualizada, na medida permitida pela legislação aplicável. Quando a legislação aplicável exigir seu consentimento expresso para uma alteração material, obteremos esse consentimento antes de aplicar a referida alteração.

Idioma

Esta Política de Privacidade é publicada em inglês e está disponível em onze idiomas adicionais para sua conveniência. Em caso de qualquer conflito ou discrepância entre a versão em inglês e qualquer tradução, a versão em inglês prevalecerá e será considerada o texto autoritativo e juridicamente vinculante.

Informações que Coletamos de Visitantes

Quando você visita CiosannaConnect.com ou de outro modo interage com nossos canais de marketing, podemos coletar:

• Informações de contato e identificação que você fornece voluntariamente por meio de formulários, incluindo nome, razão social, endereço de correio eletrônico, número de telefone, cargo, país e quaisquer outras informações inseridas em campos de texto livre.
• Informações de demonstração e consulta que você fornece ao agendar uma demonstração, solicitar um orçamento, fazer o download de um recurso ou enviar um formulário de contato, incluindo o número de unidades que você administra, tipos de imóveis, método de contato preferencial e anotações em texto livre.
• Dados de conversação com o agente de vendas, incluindo o conteúdo de suas interações com o Cio Sales Agent, as perguntas que você formula, as respostas que recebe, suas preferências declaradas, sua intenção aparente (por exemplo, navegação sem propósito definido em contraposição a intenção ativa de contratação) e quaisquer informações que você opte por compartilhar durante a conversa.
• Preferências de boletim informativo e assinatura, incluindo seu endereço de correio eletrônico e quaisquer preferências temáticas que você indique.
• Informações de dispositivo e navegação coletadas automaticamente, incluindo IP address, localização geográfica aproximada derivada de seu IP address (nível de cidade e país), tipo e versão do navegador, sistema operacional, tipo de dispositivo, resolução de tela, website de referência, páginas visualizadas, tempo gasto em páginas, eventos de clique, profundidade de rolagem e preferências de idioma.
• Cookies e tecnologias similares, conforme descrito de forma mais detalhada em nossa Política de Cookies.
• Registros de consentimento, incluindo suas respostas aos banners de consentimento de cookies e qualquer sinal de recusa do Global Privacy Control ou sinal similar enviado por seu navegador.

Informações que Coletamos de Clientes

Quando você ou sua organização se cadastra, acessa ou utiliza a plataforma Ciosanna na qualidade de Cliente, podemos coletar:

• Informações de conta, incluindo seu nome, endereço de correio eletrônico comercial, número de telefone, cargo, função na organização e credenciais de acesso.
• Informações da organização, incluindo razão social, endereço comercial, número de identificação fiscal quando exigido, quantidade de imóveis e unidades administradas, endereços dos imóveis e demais informações operacionais do negócio.
• Informações de faturamento e pagamento, incluindo o nome e endereço de correio eletrônico do responsável pelo faturamento, endereço de cobrança, os quatro últimos dígitos dos cartões de pagamento, bandeira e data de validade do cartão, informações de conta bancária ACH (transmitidas e mantidas por nosso processador de pagamentos; não armazenamos números completos de cartões de pagamento nem números completos de contas bancárias em nossos próprios sistemas), histórico de faturas, status da assinatura e informações fiscais.
• Informações de autenticação e segurança, incluindo senhas criptografadas, tokens de autenticação multifator MFA, identificadores de sessão, IP addresses e dispositivos utilizados para acesso, registros de data e hora de login e logs de eventos de segurança.
• Metadados e conteúdo de comunicações, incluindo mensagens de correio eletrônico, mensagens dentro do produto, chamados de suporte, transcrições de voz ou chat quando aplicável, e metadados como destinatários de mensagens, registros de data e hora e status de leitura.
• Informações de uso da plataforma, incluindo funcionalidades que você acessa, escolhas de configuração que você realiza, conteúdo que você carrega, imóveis e unidades que você cadastra, residentes que você inclui, contratos de locação que você registra, pagamentos que você registra, ordens de serviço que você gera, decisões de pontuação que você revisa e entradas de log de auditoria que refletem as ações realizadas em sua conta.
• Dados de interação com inteligência artificial, incluindo suas conversas com o Cio AI Assistant, as solicitações que você envia, as respostas que recebe e quaisquer comentários que você forneça sobre essas respostas.

Informações que Coletamos dos Residentes

Caso você seja um Residente em um imóvel gerenciado por meio da plataforma Ciosanna, o Cliente coleta informações sobre você e as carrega ou gera na plataforma, ou solicita que você as forneça diretamente. As informações tratadas podem incluir:

• Informações de identificação e contato, incluindo seu nome legal completo, data de nascimento, endereço postal e residencial, números de telefone, endereço de correio eletrônico, fotografia (quando exigida para fins de identificação ou acesso ao imóvel), idioma de preferência e informações de contato de emergência.
• Identificadores emitidos por órgãos governamentais, incluindo número de Seguro Social ou seus quatro últimos dígitos, número da carteira de motorista ou documento de identidade estadual, e documentação de imigração ou cidadania quando exigida pela legislação aplicável ou pelo Cliente para fins de elegibilidade habitacional. Essas informações são tratadas como Informações Pessoais Sensíveis, são criptografadas em repouso mediante criptografia AES-256-GCM com derivação de chave por inquilino, e são acessíveis apenas por quem delas necessita.
• Informações de candidatura e contrato de locação, incluindo histórico de locações, endereços anteriores, informações de emprego, documentos de comprovação de renda, referências, co-candidatos e membros do agregado familiar, animais de estimação, veículos, termos do contrato de locação, depósitos de segurança e quaisquer outras informações fornecidas em uma candidatura de locação ou em conexão com um contrato de locação.
• Informações financeiras, incluindo histórico de pagamentos de aluguel, informações de conta bancária ou cartão de pagamento utilizados para efetuar pagamentos (transmitidos e mantidos pelo nosso processador de pagamentos), autorizações de pagamentos recorrentes, saldos de razão, encargos por atraso e outras cobranças ou créditos.
• Comunicações, incluindo mensagens trocadas com a administração do imóvel, fornecedores de manutenção ou outras partes autorizadas por meio da plataforma; registros de mensagens de voz e chamadas nos casos em que a plataforma registra comunicações; e interações com o assistente de bate-papo ou de inteligência artificial.
• Informações de manutenção e ordens de serviço, incluindo descrições de problemas reportados, fotografias ou vídeos carregados, permissões de acesso concedidas e registros de visitas de fornecedores.
• Dados de pontuação e comportamentais, incluindo os pontos de dados utilizados pelo sistema de pontuação comportamental do Cio (tais como histórico de pagamentos pontuais, capacidade de resposta às comunicações, comportamento em relação à manutenção e eventos de conformidade com o contrato de locação) e as pontuações resultantes. O uso de tomada de decisão automatizada em conexão com essa pontuação é descrito na Seção 10 desta Política e em nossa Divulgação nos termos do FCRA.
• Informações de dispositivo, navegação e acesso, incluindo IP address, identificadores de dispositivo, registros de data e hora de login e eventos de acesso físico, tais como entrada no imóvel ou na unidade, nos casos em que a plataforma se integra a sistemas de controle de acesso.

Informações que Coletamos dos Proprietários de Imóveis

Caso você acesse a plataforma Ciosanna na qualidade de Proprietário de Imóvel ou Investidor, poderemos coletar:

• Informações de identificação e contato, incluindo seu nome, endereço postal, número de telefone, endereço de correio eletrônico e informações de identificação fiscal, quando exigidas para fins de distribuição de valores aos proprietários ou declaração fiscal (por exemplo, um Form 1099).
• Informações de titularidade e entidade, incluindo a entidade por meio da qual você detém o imóvel (quando aplicável), percentuais de participação, os imóveis e unidades de sua propriedade e sua função dentro de qualquer entidade de titularidade.
• Informações financeiras e de distribuição, incluindo informações de conta bancária para distribuições via ACH (mantidas pelo nosso processador de pagamentos), histórico de distribuições, tabelas de honorários e documentos fiscais.
• Informações de autenticação, comunicações, interações com inteligência artificial e uso, dos mesmos tipos descritos na Seção 2.2.

Informações que Coletamos dos Fornecedores

Caso você acesse a plataforma Ciosanna na qualidade de Fornecedor, poderemos coletar:

• Informações de identificação e empresariais, incluindo seu nome, razão social, endereço postal, número de telefone, endereço de correio eletrônico, números de licença e informações de seguro quando aplicável, áreas de atuação e informações sobre tarifas.
• Informações de ordens de serviço, incluindo atribuições, cronogramas, fotografias e anotações enviadas em conexão com trabalhos concluídos, e avaliações ou comentários fornecidos por Clientes ou Residentes.
• Informações de pagamento, incluindo informações de conta bancária para repasses (mantidas pelo nosso processador de pagamentos) e histórico de pagamentos.
• Informações de autenticação, comunicações, interações com inteligência artificial e uso, dos mesmos tipos descritos na Seção 2.2.

Informações que Coletamos Automaticamente de Todos os Usuários

Independentemente de sua função, quando você utiliza os Serviços, podemos coletar automaticamente informações sobre o dispositivo e a conexão (IP address, tipo e versão do navegador, sistema operacional, tipo e identificadores do dispositivo, configurações de idioma, fuso horário, resolução de tela, URLs de referência); informações de uso e eventos (páginas visualizadas, ações realizadas, registros de data e hora, logs de erros, métricas de desempenho, eventos de segurança); localização aproximada derivada do IP address (apenas no nível de cidade/país — não coletamos geolocalização precisa, como coordenadas GPS, salvo se você conceder expressamente essa permissão); e cookies e tecnologias similares, conforme descrito em nossa Política de Cookies.

Informações que Recebemos de Terceiros

Podemos receber Informações Pessoais sobre você provenientes de terceiros em conexão com os Serviços, incluindo: processadores de pagamento (como o Stripe), que confirmam transações bem-sucedidas ou malsucedidas, fornecem dados parciais do cartão para exibição e sinalizam riscos e fraudes; provedores de verificação de identidade e triagem de antecedentes (quando contratados por um Cliente em conexão com solicitações de locação), que fornecem resultados de verificação de identidade, informações de crédito, histórico criminal, histórico de despejos e outras informações de relatórios de consumidores regidas pelo Fair Credit Reporting Act e pela legislação estadual aplicável; provedores de comunicação e notificação (como o SendGrid para e-mail e quaisquer provedores de SMS); provedores de autenticação (quando integrações de login único ou login social estiverem habilitadas); provedores de infraestrutura (como o Cloudflare), que fornecem sinais relacionados à segurança, incluindo geolocalização por IP address, pontuações de detecção de bots e inteligência sobre ameaças; parceiros, integradores e fontes de indicação; e fontes disponíveis publicamente, incluindo diretórios comerciais, registros públicos e mídias sociais, quando utilizados para verificar informações empresariais ou em conexão com prospecção de vendas.

Categorias de Informações Pessoais segundo a Legislação da Califórnia

Para fins do California Consumer Privacy Act e do California Privacy Rights Act, as categorias de Informações Pessoais que coletamos incluem: identificadores; informações descritas na California Civil Code Section 1798.80(e); características de classificações protegidas nos termos da legislação da Califórnia ou federal (somente quando necessário para decisões de elegibilidade habitacional e somente na medida permitida pelas leis de habitação justa aplicáveis); informações comerciais; informações de atividade na internet ou em outras redes eletrônicas; dados de geolocalização (aproximada, não precisa); informações de natureza audiovisual, eletrônica, visual e similares; informações profissionais ou relacionadas ao emprego; informações educacionais; inferências derivadas de quaisquer das categorias acima mencionadas; e Informações Pessoais Sensíveis (incluindo números de Seguro Social, números de carteira de motorista, credenciais de acesso a contas, informações de acesso a contas, conteúdo de comunicações e informações de contas financeiras).

O Que Não Coletamos

Não coletamos, intencionalmente, Informações Pessoais de indivíduos com idade inferior a treze anos (ou a idade mínima equivalente nos termos da legislação aplicável em outras jurisdições). Não coletamos identificadores biométricos (tais como impressões digitais ou geometria facial), salvo se um Cliente habilitar especificamente e divulgar tal coleta em conexão com recursos de controle de acesso e obtiver todos os consentimentos exigidos dos Residentes. Não realizamos vigilância comercial não relacionada aos Serviços, tampouco coletamos Informações Pessoais com a finalidade de comercializá-las (vide Seção 13).

Para Prestação e Operação dos Serviços

Realizamos o Tratamento de Informações Pessoais para registrar e autenticar usuários, configurar e manter contas, permitir que Clientes gerenciem imóveis e Residentes, permitir que Residentes efetuem pagamentos e se comuniquem com a administração de seus imóveis, permitir que Proprietários e Fornecedores acessem os portais correspondentes, entregar comunicações, gerar relatórios e, de outro modo, fornecer as funcionalidades e os recursos dos Serviços.

Base jurídica: Execução de contrato celebrado com você ou com o Cliente que lhe concedeu acesso; ou, quando não houver relação contratual direta, nossos interesses legítimos na prestação de Serviços funcionais e os interesses legítimos do Cliente na operação de seu negócio de gestão imobiliária.

Para Processamento de Pagamentos e Distribuições

Utilizamos informações relacionadas a pagamentos para processar pagamentos de assinatura de Clientes, para facilitar o pagamento de aluguéis por Residentes, para processar distribuições a Proprietários de Imóveis e para processar repasses a Fornecedores, em cada caso por meio de nosso processador de pagamentos.

Base jurídica: Execução de contrato; cumprimento de nossas obrigações legais, incluindo obrigações de declaração fiscal e de prevenção à lavagem de dinheiro.

Para Comunicação com Você

Realizamos o Tratamento de informações de contato e comunicações para enviar mensagens transacionais (confirmações de conta, redefinições de senha, comprovantes de pagamento, atualizações de ordens de serviço, lembretes de contrato de locação e outros avisos operacionais), para responder a solicitações de suporte, para fornecer atualizações sobre os Serviços e, quando você tiver optado por receber ou quando a legislação aplicável permitir, para enviar comunicações de marketing. Você pode cancelar o recebimento de comunicações de marketing a qualquer momento seguindo as instruções de cancelamento de assinatura presentes em qualquer e-mail de marketing ou entrando em contato conosco pelo endereço support@ciosanna.com.

Base legal: Execução de contrato para comunicações transacionais; seu consentimento para comunicações de marketing quando exigido; nossos interesses legítimos em manter os usuários informados quando o consentimento não é exigido.

Para Fornecer Recursos com Tecnologia de Inteligência Artificial

Realizamos o Tratamento do conteúdo de suas interações com o Cio (incluindo o Cio Sales Agent no website de marketing e o Cio AI Assistant na plataforma) para gerar respostas, fornecer assistência contextualizada, apresentar informações relevantes e apoiar fluxos de trabalho de vendas e de sucesso do cliente. O Cio é desenvolvido por grandes modelos de linguagem fornecidos por nosso Suboperador de inteligência artificial e opera sob restrições contratuais que proíbem a utilização de suas conversas para treinar modelos de inteligência artificial de terceiros. Divulgamos o uso de inteligência artificial em qualquer interação com o Cio em conformidade com o EU AI Act e legislações similares.

Base legal: Execução de contrato (para assistência de inteligência artificial na plataforma); interesses legítimos (para suporte de vendas com tecnologia de inteligência artificial, sujeito ao seu direito de oposição); seu consentimento quando exigido.

Para Operar o Sistema de Pontuação Comportamental do Cio

Para Residentes e candidatos a imóvel locado nos casos em que o Cliente habilitou os recursos de pontuação, realizamos o Tratamento de informações de comportamento e histórico de pagamentos para gerar pontuações do Cio destinadas a auxiliar o Cliente na compreensão dos padrões de locação dos residentes. O uso da pontuação pelo Cliente é regido pelas próprias políticas do Cliente, pela legislação de habitação justa aplicável e pelo Fair Credit Reporting Act quando a pontuação for utilizada para tomar decisões de elegibilidade. A Seção 10 desta Política e nossa Divulgação nos Termos do FCRA fornecem detalhes adicionais, incluindo seu direito à revisão humana de decisões automatizadas.

Base legal: Execução de contrato com o Cliente; interesses legítimos do Cliente na avaliação do risco de locação, ponderados em relação aos seus direitos e liberdades; conformidade legal com o Fair Credit Reporting Act quando aplicável.

Para Personalizar os Serviços

Utilizamos informações de idioma, localidade e preferências para exibir os Serviços no idioma de sua preferência, para memorizar suas configurações de interface e para apresentar conteúdos relevantes à sua função.

Base legal: Execução de contrato; interesses legítimos na prestação de uma experiência utilizável.

Para Manter a Segurança e Prevenir Fraudes

Realizamos o Tratamento de IP addresses, identificadores de dispositivos, eventos de login, registros de eventos de segurança, sinais de detecção de bots e informações semelhantes para detectar e prevenir acessos não autorizados, fraudes, abusos, incidentes de segurança e violações de nossos Termos de Serviço ou da legislação aplicável. Utilizamos os serviços de gerenciamento de bots e inteligência de ameaças da Cloudflare, incluindo o CAPTCHA Turnstile, em conexão com essas finalidades.

Base legal: Interesses legítimos na proteção da segurança dos Serviços e de nossos usuários; cumprimento de obrigações legais.

Para Cumprir Obrigações Legais

Realizamos o Tratamento de Informações Pessoais para cumprir nossas obrigações legais, incluindo obrigações decorrentes da legislação tributária, da legislação contábil, da legislação de prevenção à lavagem de dinheiro, da legislação de habitação justa, da legislação de proteção ao consumidor (incluindo o FCRA, o CCPA, o GDPR e legislações similares), de atendimento a requisições legítimas de autoridades policiais, ordens judiciais e autoridades regulatórias, bem como para o estabelecimento, exercício ou defesa de pretensões jurídicas.

Base legal: Cumprimento de obrigação legal; interesses legítimos no estabelecimento ou na defesa de pretensões jurídicas; interesses vitais em situações emergenciais excepcionais.

Para Analisar e Aprimorar os Serviços

Utilizamos dados de uso, registros de erros e dados agregados ou desidentificados para compreender como os Serviços são utilizados, diagnosticar problemas técnicos, mensurar a adoção de funcionalidades, testar novos recursos e aprimorar os Serviços. Sempre que viável, utilizamos dados agregados ou desidentificados para essas finalidades. Não utilizamos Informações Pessoais individuais de Residentes para treinar modelos de inteligência artificial disponibilizados a outros Clientes sem autorização expressa.

Base legal: Interesses legítimos na operação e no aprimoramento dos Serviços.

Para Realizar Marketing e Desenvolvimento de Negócios

Realizamos o Tratamento de informações de contato de potenciais clientes empresariais (tipicamente funcionários de organizações prospectivas de Clientes) para conduzir abordagens comerciais, apresentar a plataforma Ciosanna, agendar demonstrações e apoiar o processo de vendas. Atendemos prontamente às solicitações de cancelamento de recebimento de comunicações. Não realizamos publicidade comportamental entre contextos nem compartilhamos Informações Pessoais com anunciantes terceiros para fins publicitários.

Base legal: Interesses legítimos em vendas e desenvolvimento de negócios; seu consentimento quando exigido por lei.

Para Efetivar Transferências Empresariais

Caso estejamos envolvidos em uma fusão, aquisição, financiamento, reorganização, falência, recuperação judicial, venda de ativos da empresa ou transferência de serviço a outro prestador, poderemos realizar o Tratamento e a divulgação de Informações Pessoais em conexão com tal transação, sujeito a proteções de confidencialidade adequadas e à aplicação continuada desta Política ou de termos sucessores substancialmente semelhantes a esta Política.

Base legal: Interesses legítimos na condução de transações societárias; cumprimento de obrigações legais.

Com Seu Consentimento

Podemos realizar o Tratamento de Informações Pessoais para finalidades adicionais com o seu consentimento. Você pode retirar seu consentimento a qualquer momento, sendo que a retirada não afetará o Tratamento ocorrido antes de sua efetivação.

Base legal: Seu consentimento.

Compartilhamento Dentro da Plataforma Ciosanna

A plataforma Ciosanna é um sistema de múltiplos portais que necessariamente compartilha determinadas informações entre os portais para funcionar. O compartilhamento interno a seguir ocorre no curso normal da prestação dos Serviços:

• Entre o Cliente e seus usuários autorizados: As informações carregadas ou geradas por um usuário de uma organização Cliente são, em regra, acessíveis a outros usuários autorizados da mesma organização Cliente, sujeito a controles de acesso baseados em função (membros da equipe podem ter acesso mais limitado do que gerentes ou proprietários de empresas).
• Do Cliente ao Residente: As informações que o Cliente publica por meio da plataforma para um Residente (como saldos de conta corrente, notificações e documentos de contrato de locação) são visíveis para esse Residente no portal do Residente.
• Do Residente ao Cliente: As informações que o Residente submete por meio da plataforma (como solicitações de manutenção, comunicações e informações de pagamento) são visíveis para os usuários autorizados da organização Cliente.
• Do Cliente ao Proprietário: As informações sobre imóveis e Residentes que o Cliente opta por disponibilizar a um Proprietário de Imóvel por meio do portal do investidor (como taxa de ocupação, listagem de aluguéis, desempenho financeiro e resumos de pontuação de Residentes) são visíveis para esse Proprietário. Os Proprietários não têm acesso a todas as informações dos Residentes; o acesso é configurado pelo Cliente em conformidade com a legislação aplicável.
• Do Cliente ao Fornecedor: As informações necessárias para que um Fornecedor execute uma ordem de serviço atribuída (como o endereço, a natureza do problema, as instruções de acesso e o contato do Residente para agendamento) são compartilhadas com o Fornecedor designado.
• Entre Residentes e outros Residentes: A plataforma não compartilha as Informações Pessoais de um Residente com outros Residentes, exceto quando o Cliente tiver habilitado funcionalidades que necessariamente impliquem tal compartilhamento (por exemplo, murais de mensagens da comunidade ou agendamento de comodidades compartilhadas), e mesmo assim apenas as informações limitadas necessárias para a funcionalidade.

Suboperadores

Contratamos Suboperadores criteriosamente selecionados para a prestação de serviços em nosso nome. Cada Suboperador está vinculado por um contrato escrito que exige confidencialidade, medidas de segurança adequadas e o Tratamento de Informações Pessoais apenas mediante instruções documentadas da Ciosanna e em conformidade com esta Política. As categorias de Suboperadores que utilizamos incluem:

• Infraestrutura em nuvem e hospedagem de banco de dados — para armazenamento e Tratamento de Informações Pessoais.
• Processamento de pagamentos — para processar pagamentos de assinaturas, pagamentos de aluguel, distribuições a proprietários e repasses a fornecedores.
• Entrega de e-mails e notificações — para comunicações transacionais e de marketing.
• Serviços de inteligência artificial — para operacionalizar o Cio AI Assistant e o Cio Sales Agent.
• Segurança, entrega de conteúdo e gerenciamento de bots — para a prestação dos Serviços de forma segura e em escala.
• Verificação de identidade e agências de relatórios ao consumidor — quando contratadas por um Cliente em conexão com solicitações de locação, sujeito ao Fair Credit Reporting Act e à legislação estadual aplicável.
• Suporte ao cliente e ferramentas de helpdesk — quando utilizados para gerenciar chamados de suporte.
• Análise de dados e telemetria de produto — utilizando análises proprietárias com preservação de privacidade.

Uma lista atualizada de nossos Suboperadores relevantes está disponível em nossa Lista de Suboperadores (referenciada na Seção 15 desta Política).

Compartilhamento com Fornecedores e Prestadores de Serviços do Cliente

Um Cliente pode optar por integrar a Ciosanna a serviços de terceiros que utiliza (por exemplo, softwares de contabilidade, serviços de triagem ou provedores de seguro). Quando o Cliente habilita tais integrações, Informações Pessoais poderão ser compartilhadas com esses terceiros em conformidade com as instruções do Cliente e com a política de privacidade do próprio terceiro. Não nos responsabilizamos pelas práticas de privacidade de serviços de terceiros que o Cliente opte por integrar.

Compartilhamento Mediante Seu Consentimento

Podemos compartilhar Informações Pessoais com terceiros quando você nos instruir a fazê-lo ou de outro modo consentir com o compartilhamento.

Compartilhamento por Razões Legais

Podemos divulgar Informações Pessoais quando acreditarmos, de boa-fé, que a divulgação é exigida ou permitida por lei, incluindo: para cumprimento de intimação, ordem judicial, mandado de busca e apreensão ou outro processo legal; para responder a solicitações legítimas de autoridades públicas, inclusive autoridades policiais e de segurança nacional; para fazer cumprir nossos Termos de Serviço ou outros contratos; para investigar e prevenir fraudes, incidentes de segurança ou violações de nossas políticas ou da legislação aplicável; para proteger os direitos, o patrimônio ou a segurança da Ciosanna, de nossos usuários ou de terceiros; e no contexto de procedimentos judiciais, inclusive para o estabelecimento, exercício ou defesa de pretensões jurídicas.

Na medida em que legalmente permitido, notificaremos o usuário afetado antes de divulgar suas Informações Pessoais em resposta a uma solicitação legal, salvo quando formos proibidos de fazê-lo ou quando acreditarmos que a notificação representaria risco de dano.

Compartilhamento em Conexão com Transferências Empresariais

Caso estejamos envolvidos em uma fusão, aquisição, financiamento, reorganização, falência, recuperação judicial ou venda de ativos societários, as Informações Pessoais poderão ser transferidas à entidade adquirente ou sucessora. Exigiremos que tal destinatário honre compromissos substancialmente similares aos desta Política com relação às suas Informações Pessoais.

Dados Agregados ou Desidentificados

Podemos compartilhar dados agregados, anonimizados ou desidentificados que não possam ser razoavelmente utilizados para identificá-lo para qualquer finalidade lícita, incluindo pesquisa de mercado, benchmarking setorial e melhoria dos Serviços. Adotamos salvaguardas razoáveis para prevenir a reidentificação e não tentamos reidentificar dados desidentificados, exceto na medida permitida pela legislação aplicável.

Vedação à Venda de Informações Pessoais; Vedação à Publicidade Comportamental Contextual Cruzada

Não vendemos Informações Pessoais mediante contraprestação financeira. Não compartilhamos Informações Pessoais para fins de publicidade comportamental contextual cruzada. Respeitamos o sinal Global Privacy Control como uma solicitação válida de recusa (opt-out) em relação a qualquer compartilhamento que possa ser caracterizado como "venda" ou "compartilhamento" nos termos da legislação da Califórnia. A Seção 13 desta Política descreve com maior detalhe o seu direito de recusar qualquer tal atividade.

Visão Geral

Nós e nossos prestadores de serviços utilizamos cookies e tecnologias de rastreamento similares (coletivamente, "Tecnologias de Rastreamento") para operar, proteger e aprimorar os Serviços. Esta Seção fornece um resumo de alto nível. Nossa Política de Cookies (disponível em /legal/cookies) apresenta um inventário detalhado das Tecnologias de Rastreamento específicas que utilizamos, as finalidades para as quais são empregadas, as categorias de informações que coletam e seus respectivos períodos de retenção.

O Que São Tecnologias de Rastreamento

Tecnologias de Rastreamento incluem: (a) cookies, que são pequenos arquivos de texto instalados em seu dispositivo pelo site que você visita; (b) web beacons (também conhecidos como pixels ou GIFs transparentes), que são pequenas imagens gráficas incorporadas em páginas web ou mensagens de correio eletrônico e utilizadas para medir o engajamento; (c) armazenamento local e armazenamento de sessão, que são mecanismos de armazenamento baseados em navegador utilizados para armazenar preferências e estado de autenticação; (d) kits de desenvolvimento de software (SDKs) incorporados em quaisquer aplicativos móveis ou integrados ao produto; e (e) identificadores do lado do servidor utilizados em conexão com nossa infraestrutura e com nossos fornecedores de segurança.

Categorias de Tecnologias de Rastreamento que Utilizamos

Organizamos as Tecnologias de Rastreamento nas seguintes categorias:

• Estritamente Necessárias — exigidas para o funcionamento dos Serviços, incluindo tokens de autenticação, identificadores de sessão, cookies de segurança, cookies de balanceamento de carga e cookies utilizados para registrar suas escolhas de consentimento de cookies. Estas não podem ser desativadas por meio de nosso banner de consentimento de cookies, pois os Serviços não funcionariam sem elas.
• Funcionais — utilizadas para registrar suas preferências e configurações, incluindo sua escolha de idioma, localidade e preferências de interface.
• Analíticas — utilizadas para compreender como Visitantes e usuários interagem com os Serviços, incluindo quais páginas são visualizadas, quais funcionalidades são utilizadas e como os usuários navegam pelos Serviços. Utilizamos análises de primeira parte com preservação de privacidade e não compartilhamos dados analíticos em nível de Visitante com redes de publicidade de terceiros.
• De Marketing — utilizadas em conexão com nossas próprias comunicações de marketing e personalização no site. Não utilizamos cookies de publicidade de terceiros nem compartilhamos dados com redes de publicidade de terceiros para fins de publicidade comportamental de contexto cruzado.

Consentimento e Escolha

Obtemos seu consentimento para Tecnologias de Rastreamento não essenciais em conformidade com a legislação aplicável. Nosso mecanismo de consentimento é geograficamente contextualizado:

• Visitantes da União Europeia, do Espaço Econômico Europeu e do Reino Unido: Apresentamos uma sobreposição de consentimento em tela cheia que bloqueia as Tecnologias de Rastreamento não essenciais até que o usuário faça uma escolha afirmativa. As configurações padrão são definidas como recusa, e o usuário deve aceitar ou personalizar suas seleções de forma afirmativa.
• Califórnia, Colorado, Connecticut, Virgínia, Utah e outras jurisdições aplicáveis dos Estados Unidos: Apresentamos um banner de consentimento na parte inferior da página que permite ao usuário recusar as Tecnologias de Rastreamento não essenciais. Quando o usuário tiver direito de recusar a "venda" ou o "compartilhamento" nos termos da legislação estadual aplicável, o banner disponibiliza essa opção.
• Demais jurisdições: Aplicamos um banner padrão na parte inferior da página, de caráter conservador, em consonância com as melhores práticas globais.
• Global Privacy Control (GPC): Caso seu navegador transmita um sinal Global Privacy Control, aplicamos automaticamente as configurações mais protetivas em termos de privacidade (somente cookies essenciais) e tratamos o sinal como uma solicitação válida de recusa nos termos da legislação aplicável, incluindo a California Privacy Rights Act e as leis de privacidade do Colorado, Connecticut, Texas, Oregon, Montana, New Hampshire, New Jersey, Delaware, Nebraska e Minnesota.

Você pode alterar suas preferências de cookies a qualquer momento por meio do link de configurações de cookies localizado no rodapé de nosso site. Caso você altere suas preferências, a modificação se aplicará prospectivamente; as informações já coletadas sob suas preferências anteriores serão retidas ou eliminadas em conformidade com os prazos de retenção descritos em nossa Política de Cookies.

Não Rastreie

A maioria dos navegadores modernos não transmite mais um sinal "Do Not Track" com significado efetivo. Honramos o sinal Global Privacy Control conforme descrito acima. Não respondemos ao cabeçalho legado "Do Not Track" porque nenhuma interpretação padronizada pela indústria para esse sinal foi estabelecida.

Cookies Definidos por Serviços de Terceiros

Determinadas funcionalidades dos Serviços podem depender de serviços de terceiros que definem seus próprios cookies, incluindo o desafio de proteção contra bots do Cloudflare Turnstile, a interface de checkout de nosso processador de pagamentos e quaisquer widgets incorporados de suporte ao cliente. Os cookies definidos por esses terceiros são regidos pela política de privacidade do respectivo terceiro. Listamos esses terceiros e seus cookies em nossa Política de Cookies.

Princípio Geral

Retemos Informações Pessoais apenas pelo tempo necessário para cumprir as finalidades para as quais foram coletadas, para atender às nossas obrigações legais, regulatórias, tributárias, contábeis e de reporte, para fazer cumprir nossos contratos, para resolver litígios e para proteger nossos direitos legais, salvo quando um prazo de retenção mais longo seja exigido ou permitido pela legislação aplicável. Quando as Informações Pessoais não forem mais necessárias, procederemos à sua exclusão, anonimização ou, nos casos em que a exclusão não seja tecnicamente viável (por exemplo, em arquivos de backup imutáveis), à restrição de seu Tratamento adicional até que a exclusão seja viável.

Retenção de Dados do Cliente

Para os Dados do Cliente (Informações Pessoais que tratamos em nome de um Cliente), nosso período de retenção padrão corresponde à duração da assinatura do Cliente dos Serviços acrescida de um período definido após o encerramento, para fins de liquidação ordenada:

• Assinatura ativa: Retemos os Dados do Cliente enquanto a conta do Cliente estiver ativa.
• Conta suspensa: Se a conta de um Cliente for suspensa por inadimplência ou por violação de nossos Termos de Serviço, os Dados do Cliente serão retidos em estado de suspensão até a resolução da pendência.
• Conta cancelada, janela de retenção de noventa dias: Após o cancelamento da assinatura de um Cliente, retemos os Dados do Cliente por noventa (90) dias contados da data efetiva do cancelamento. Durante esse período, o Cliente poderá solicitar a exportação dos Dados do Cliente ou a reativação da conta.
• Após a janela de noventa dias: Decorrida a janela de retenção de noventa dias, os Dados do Cliente são expurgados dos sistemas ativos. Cópias residuais poderão permanecer em backups criptografados até que tais backups sejam removidos do ciclo de retenção (tipicamente dentro de noventa dias adicionais), bem como em registros de auditoria e registros similares retidos conforme descrito na Seção 6.5 abaixo.
• Exclusão por instrução do Cliente: O Cliente poderá nos instruir a excluir os Dados do Cliente antes do prazo padrão, observados os requisitos legais de retenção e nossos procedimentos internos.
• Exclusão lógica na plataforma: Quando um Cliente marca uma conta ou registro como "excluído" por meio da plataforma, os dados subjacentes são retidos no razão da conta do Cliente (por exemplo, para fins de auditoria e resolução de disputas), mas removidos das visualizações padrão, salvo e até que o Cliente exclua permanentemente o registro ou que o período de retenção expire.

Retenção de Dados de Visitantes

Para Informações Pessoais que coletamos de Visitantes no site de marketing:

• Conversas de vendas e dados de leads (incluindo transcrições do Cio Sales Agent, solicitações de demonstração e envios de formulários de contato) são retidos por até vinte e quatro (24) meses a partir da interação mais recente, após os quais excluímos os dados ou retemos apenas dados agregados e anonimizados para análise de tendências.
• Dados de assinantes de newsletter são retidos até o cancelamento da assinatura, acrescidos de um breve período de supressão (tipicamente trinta dias) para garantir que sua preferência seja respeitada em todos os nossos sistemas.
• Dados de cookies e de análise são retidos pelos períodos especificados em nossa Política de Cookies.
• Registros de consentimento são retidos pelo prazo maior entre (a) a duração durante a qual o consentimento esteja em vigor, acrescida de um período razoável subsequente para demonstrar conformidade com a legislação aplicável, ou (b) qualquer prazo de retenção exigido por lei.

Os prazos de retenção descritos na presente Seção 7 aplicam-se às categorias específicas de informações que coletamos:

Determinadas categorias de Informações Pessoais são retidas conforme cronogramas específicos por categoria:

• Registros de pagamento, faturas e documentos fiscais são retidos por, no mínimo, sete (7) anos após a transação ou, caso seja maior, pelo período exigido pela legislação tributária, contábil ou de prevenção à lavagem de dinheiro aplicável.
• Informações Pessoais Sensíveis (tais como números de Seguro Social e identificadores governamentais) são retidas apenas pelo tempo necessário para cumprir a finalidade para a qual foram coletadas (geralmente a duração do vínculo locatício acrescida de um período pós-locação definido), sendo então excluídas ou objeto de restrição adicional.
• Informações de verificação de antecedentes e relatórios sobre consumidores são retidas em conformidade com o FCRA e com a legislação estadual aplicável, não sendo mantidas além do período necessário para a finalidade para a qual o relatório foi obtido.
• Dados de comunicação (incluindo e-mails, mensagens e conversas realizadas na plataforma) são, em geral, retidos pelo prazo da relação subjacente acrescido de período razoável subsequente para fins de resolução de disputas e auditoria, após o qual são excluídos, salvo quando exigidos para fins legais ou regulatórios.
• Registros de segurança e autenticação são retidos por até vinte e quatro (24) meses para fins de investigação de segurança e auditoria.
• Registros de conversas do Cio AI são retidos conforme descrito na Section 3.4 e em nossa Política de Cookies.

Registros de Auditoria e Backups

Mantemos registros de auditoria que refletem as ações realizadas no âmbito dos Serviços para fins de segurança, conformidade e resolução de litígios. Os registros de auditoria são retidos por períodos compatíveis com a legislação aplicável e com nossos requisitos internos de governança, em geral por período não inferior ao prazo de retenção dos registros subjacentes aos quais as entradas do registro se referem.

Cópias de segurança de nossos sistemas de produção são mantidas para fins de recuperação de desastres e continuidade dos negócios. As Informações Pessoais que tenham sido excluídas dos sistemas ativos poderão permanecer em cópias de segurança criptografadas até que essas cópias sejam removidas do ciclo de retenção. Não restauramos Informações Pessoais excluídas a partir de cópias de segurança, exceto quando necessário para fins de recuperação de desastres.

Medidas Cautelares de Preservação de Dados

Se recebermos notificação de litígio pendente ou iminente, investigação governamental, consulta regulatória ou outro evento que dê ensejo a uma retenção legal, preservaremos as Informações Pessoais relevantes independentemente dos prazos de retenção acima estabelecidos, até que a referida retenção seja levantada.

Exclusão em Resposta a Solicitações Verificadas

Quando você tiver, nos termos da legislação aplicável, o direito de solicitar a exclusão de suas Informações Pessoais, honraremos uma solicitação de exclusão verificada em conformidade com a Seção 9.0 desta Política. Aplicam-se determinadas exceções, inclusive quando a retenção for necessária para concluir uma transação, detectar incidentes de segurança, cumprir uma obrigação legal, exercer a liberdade de expressão, cumprir a California Electronic Communications Privacy Act, realizar pesquisas de interesse público ou exercer ou defender direitos em ações judiciais.

Nosso Programa de Segurança

Mantemos um programa de segurança da informação concebido para proteger Informações Pessoais contra acesso não autorizado, perda acidental, alteração, divulgação e destruição. Nosso programa é orientado por padrões reconhecidos da indústria e inclui salvaguardas administrativas, técnicas e físicas adequadas à natureza das Informações Pessoais que Tratamos e aos riscos associados a tal Tratamento. Os principais componentes de nosso programa de segurança são descritos a seguir. Nenhum programa de segurança é perfeito, e não podemos garantir a segurança absoluta das Informações Pessoais; as salvaguardas descritas nesta Seção destinam-se a reduzir o risco a um nível adequado para os Serviços, mas você também deve adotar medidas apropriadas para proteger suas próprias Informações Pessoais, incluindo a utilização de senhas fortes e exclusivas e a habilitação de autenticação multifator onde disponível.

Criptografia

• Criptografia em trânsito: Todas as conexões aos Serviços são criptografadas por meio do protocolo Transport Layer Security (TLS) versão 1.3 ou, quando TLS 1.3 não estiver disponível no cliente conectante, TLS 1.2 com conjuntos de cifras modernos. Mantemos uma configuração Full (Strict) SSL junto ao nosso provedor de entrega de conteúdo e segurança, a fim de assegurar criptografia de ponta a ponta entre o cliente, a borda e a origem.
• Criptografia em repouso: As Informações Pessoais armazenadas em nosso banco de dados de produção são criptografadas em repouso. As Informações Pessoais Sensíveis (incluindo identificadores governamentais, tais como números de Seguro Social, datas de nascimento e informações de contas financeiras) estão sujeitas a uma camada adicional de criptografia em nível de aplicação, utilizando o Advanced Encryption Standard no modo Galois/Counter Mode com chaves de 256 bits ("AES-256-GCM"), com chaves criptográficas derivadas por locatário por meio da HMAC-based Key Derivation Function (HKDF). Os campos pesquisáveis são protegidos mediante representações de hash com chave (HMAC), de modo que consultas autorizadas possam ser realizadas sem exposição do texto simples.
• Cópias de backup e de recuperação de desastres são criptografadas por meio de mecanismos equivalentes.

Controles de Acesso

• Controle de acesso baseado em função (RBAC): O acesso a Informações Pessoais no âmbito dos Serviços é regido por controles de acesso baseados em função. As organizações dos Clientes são configuradas como contas multilocatário com segurança em nível de linha aplicada na camada de banco de dados, de modo que os dados de um Cliente não sejam acessíveis a outro Cliente.
• Acesso por necessidade de conhecimento para o pessoal da Ciosanna: O acesso a Informações Pessoais pelo pessoal da Ciosanna é restrito aos indivíduos que necessitem de tal acesso para o desempenho de suas funções. Todo acesso dessa natureza é registrado em log.
• Autenticação: O acesso a contas destinadas aos Clientes é protegido por autenticação por senha, com suporte a autenticação multifator (MFA). O acesso administrativo a sistemas internos requer autenticação multifator (MFA).
• Gerenciamento de sessão: As sessões expiram automaticamente após um período de inatividade. Eventos de autenticação suspeitos acionam verificação adicional ou encerramento da sessão.

Segurança de Infraestrutura

• Firewall de aplicação web (WAF): O tráfego de entrada nos Serviços é filtrado por meio de um firewall de aplicação web que detecta e bloqueia padrões de ataque comuns, incluindo injeção de SQL, scripts entre sites (cross-site scripting) e tráfego malicioso conhecido.
• Proteção contra negação de serviço distribuída (DDoS): Nossa infraestrutura é protegida por um serviço de mitigação de DDoS de nível empresarial.
• Gerenciamento de bots: Implantamos o Cloudflare Bot Fight Mode e mecanismos semelhantes de detecção automatizada de bots para identificar e bloquear tráfego automatizado malicioso.
• Desafios de bot em formulários: Os formulários públicos, incluindo formulários de acesso, formulários de cadastro e o formulário de envio de DSAR para Visitantes, são protegidos pelo Cloudflare Turnstile, uma alternativa de CAPTCHA que preserva a privacidade, que na maioria dos casos não exige interação do usuário e não depende de cookies de rastreamento.
• Segmentação de rede e privilégio mínimo: Os sistemas de produção são segmentados dos sistemas de desenvolvimento e homologação, e as comunicações entre serviços são restritas ao mínimo necessário para o funcionamento dos Serviços.

Desenvolvimento de Software e Gestão de Vulnerabilidades

Empregamos práticas seguras de desenvolvimento de software, incluindo revisão de código, monitoramento de dependências, testes automatizados de segurança e aplicação imediata de correções para vulnerabilidades conhecidas em bibliotecas de terceiros e na infraestrutura subjacente. Monitoramos os avisos de segurança emitidos por nossos fornecedores de software e aplicamos correções críticas em conformidade com a gravidade da vulnerabilidade divulgada.

Segurança de Pessoal

O pessoal da Ciosanna com acesso a Informações Pessoais está sujeito a obrigações de confidencialidade, recebe treinamento em práticas de privacidade e segurança e é obrigado a cumprir nossas políticas de segurança da informação. O acesso é provisionado com base na necessidade de conhecimento e revogado em caso de mudança de função ou desligamento.

Sub-Processors e Segurança

Exigimos contratualmente que nossos Suboperadores mantenham medidas de segurança adequadas às Informações Pessoais que Tratam em nosso nome. Periodicamente, revisamos a postura de segurança dos Suboperadores relevantes e, quando aplicável, analisamos seus relatórios de auditoria de segurança independente (como relatórios SOC 2).

Resposta a Incidentes e Notificação de Violação

Mantemos um plano de resposta a incidentes elaborado para identificar, conter, investigar e remediar incidentes de segurança. Na hipótese de violação de dados pessoais, conforme definido pela legislação aplicável:

• Notificaremos a autoridade supervisora competente (tal como uma Autoridade de Proteção de Dados da União Europeia) sem demora injustificada e, quando viável, no prazo de setenta e duas (72) horas a contar do momento em que tomarmos conhecimento da violação, em conformidade com o Article 33 do GDPR.
• Notificaremos os indivíduos afetados sem demora injustificada quando a violação for suscetível de resultar em elevado risco para os seus direitos e liberdades, ou quando assim exigido pela legislação aplicável (incluindo as leis estaduais de notificação de violações de dados nos Estados Unidos).
• Quando realizarmos o Tratamento de Informações Pessoais em nome de um Cliente, notificaremos o Cliente sem demora injustificada, a fim de que o Cliente possa cumprir suas próprias obrigações de notificação.

A forma, o prazo e o conteúdo das notificações de violação serão adequados às exigências da legislação aplicável e às circunstâncias do incidente específico.

Suas Responsabilidades

Você desempenha um papel importante na proteção de suas próprias Informações Pessoais. Recomendamos que você: utilize senhas fortes e exclusivas e ative a autenticação multifator sempre que disponível; nunca compartilhe suas credenciais de acesso com terceiros; encerre a sessão nos Serviços ao utilizar dispositivos compartilhados ou públicos; mantenha seus dispositivos, sistemas operacionais e navegadores atualizados com os patches de segurança mais recentes; tenha cautela com e-mails ou mensagens de phishing que aparentem ser provenientes da Ciosanna e verifique o remetente antes de clicar em links ou fornecer credenciais; e notifique-nos prontamente pelo endereço support@ciosanna.com caso suspeite de qualquer acesso não autorizado à sua conta.

Onde Realizamos o Tratamento de Informações Pessoais

A Ciosanna tem sede nos Estados Unidos, e nossa infraestrutura de produção é operada predominantemente nos Estados Unidos. Ao utilizar os Serviços, suas Informações Pessoais poderão ser transferidas para, armazenadas e objeto de Tratamento nos Estados Unidos e em qualquer outro país onde nós ou nossos Suboperadores mantenham instalações. A legislação de proteção de dados e privacidade dos Estados Unidos e dos demais países para os quais as Informações Pessoais possam ser transferidas pode não oferecer o mesmo nível de proteção que a legislação da jurisdição em que você reside.

Transferências a Partir do Espaço Econômico Europeu, do Reino Unido e da Suíça

Quando transferimos Informações Pessoais da Área Econômica Europeia ("AEE"), do Reino Unido ou da Suíça para os Estados Unidos ou para outro país que não tenha sido reconhecido como proporcionando nível adequado de proteção de dados, nos baseamos em um ou mais dos seguintes mecanismos lícitos de transferência:

• Standard Contractual Clauses (SCCs): Celebramos as Standard Contractual Clauses da Comissão Europeia (Module 2 para transferências de controlador para operador, ou outro Module aplicável, conforme estabelecido na Decisão de Execução da Comissão (UE) 2021/914) com nossos Suboperadores localizados fora da AEE. As SCCs impõem obrigações vinculantes ao importador de dados no que diz respeito à proteção de Informações Pessoais.
• UK International Data Transfer Addendum às SCCs (ou o UK International Data Transfer Agreement), conforme emitido pelo Escritório do Comissário de Informação do Reino Unido, para transferências sujeitas ao UK GDPR.
• Mecanismos reconhecidos pela Autoridade Suíça de Proteção de Dados para transferências sujeitas à Lei Federal Suíça de Proteção de Dados.
• EU-U.S., UK Extension e Swiss-U.S. Data Privacy Framework: Quando nós ou nossos Suboperadores estamos certificados nos termos do Data Privacy Framework aplicável administrado pelo Departamento de Comércio dos Estados Unidos, podemos nos basear em tal certificação como mecanismo lícito de transferência. Estamos atualmente avaliando a autocertificação no âmbito do Data Privacy Framework; até que a certificação seja obtida e registrada nesta Política, nos baseamos nas SCCs e nos demais mecanismos descritos acima.
• Outros mecanismos lícitos de transferência autorizados pela legislação aplicável, incluindo regras corporativas vinculantes quando aplicáveis, derrogações para situações específicas nos termos do Article 49 do GDPR (tais como quando a transferência for necessária para a execução de um contrato ou mediante seu consentimento explícito), e qualquer outro mecanismo formalmente aprovado pela autoridade supervisora competente.

Medidas Suplementares

Além das salvaguardas contratuais descritas acima, aplicamos medidas técnicas e organizacionais suplementares destinadas a proteger as Informações Pessoais transferidas, incluindo os controles de criptografia descritos na Seção 7, restrições contratuais ao acesso por Suboperadores, relatórios de transparência, quando permitido por lei, em resposta a solicitações de acesso governamental, e políticas que regem a forma como respondemos a solicitações de autoridades policiais por Informações Pessoais.

Transferências de Outras Jurisdições

Para transferências de Informações Pessoais provenientes de outras jurisdições com restrições a transferências transfronteiriças (incluindo, sem limitação, Canadá, Brasil, Japão, Coreia do Sul, Austrália, Índia e outros), cumprimos os requisitos de transferência transfronteiriça aplicáveis por meio de um ou mais dos seguintes mecanismos: acordos de transferência de dados aplicáveis; consentimento do titular dos dados, quando exigido; execução de contrato; ou outros mecanismos permitidos pela legislação pertinente.

Seu Direito à Informação Sobre Transferências

Você tem o direito de receber informações sobre as salvaguardas que aplicamos às transferências de suas Informações Pessoais para fora de sua jurisdição. Para solicitar uma cópia das salvaguardas aplicáveis (tais como os SCCs pertinentes, com os termos comerciais confidenciais suprimidos), entre em contato conosco pelo endereço support@ciosanna.com.

Localização de Dados

Atualmente, não oferecemos opções de localização de dados que restrinjam o armazenamento ou o Tratamento de Informações Pessoais a um país ou região específicos. Caso você necessite de localização de dados por razões regulatórias ou contratuais, entre em contato com seu representante de conta Ciosanna; a localização poderá estar disponível em regime empresarial, sujeita a termos adicionais.

Direitos nos termos do Regulamento Geral de Proteção de Dados da União Europeia e do Reino Unido

Caso você esteja localizado no Espaço Econômico Europeu, no Reino Unido ou na Suíça, ou caso o EU GDPR, o UK GDPR ou a Lei Federal Suíça de Proteção de Dados seja aplicável ao Tratamento de suas Informações Pessoais, você possui os seguintes direitos:

• Direito de acesso (Article 15). Você tem o direito de obter confirmação quanto ao fato de realizarmos ou não o Tratamento de Informações Pessoais a seu respeito e, em caso afirmativo, de receber uma cópia dessas Informações Pessoais acompanhada de informações sobre o Tratamento.
• Direito de retificação (Article 16). Você tem o direito de solicitar a correção de Informações Pessoais inexatas a seu respeito e, levando em conta as finalidades do Tratamento, de solicitar a complementação de Informações Pessoais incompletas.
• Direito ao apagamento ("right to be forgotten") (Article 17). Você tem o direito de solicitar o apagamento de Informações Pessoais a seu respeito sem demora injustificada em determinadas circunstâncias, inclusive quando as Informações Pessoais não forem mais necessárias para as finalidades para as quais foram coletadas, quando você revogar o consentimento no qual o Tratamento se baseia, quando você se opuser ao Tratamento e não houver fundamentos legítimos prevalecentes, ou quando as Informações Pessoais tiverem sido objeto de Tratamento ilícito.
• Direito à limitação do Tratamento (Article 18). Você tem o direito de obter a limitação do Tratamento em determinadas circunstâncias, inclusive quando contestar a exatidão das Informações Pessoais, quando o Tratamento for ilícito mas você se opuser ao apagamento, ou quando tiver se oposto ao Tratamento enquanto se aguarda a verificação da existência de fundamentos legítimos prevalecentes.
• Direito à portabilidade dos dados (Article 20). Quando o Tratamento for baseado em consentimento ou em contrato e for realizado por meios automatizados, você tem o direito de receber as Informações Pessoais que nos forneceu em formato estruturado, de uso corrente e legível por máquina, bem como de transmiti-las a outro controlador sem impedimentos.
• Direito de oposição (Article 21). Você tem o direito de se opor, com fundamento em razões relacionadas à sua situação particular, ao Tratamento de Informações Pessoais baseado em nossos interesses legítimos ou na execução de uma tarefa de interesse público. Você tem o direito incondicional de se opor, a qualquer momento, ao Tratamento de suas Informações Pessoais para fins de marketing direto.
• Direito de não ser submetido a decisão baseada exclusivamente em Tratamento automatizado (Article 22). Você tem o direito de não ser submetido a uma decisão baseada exclusivamente em Tratamento automatizado, incluindo a elaboração de perfis, que produza efeitos jurídicos a seu respeito ou que o afete de forma igualmente significativa, ressalvadas exceções limitadas. A Seção 10 desta Política descreve nossas práticas em relação à tomada de decisões automatizadas.
• Direito de retirar o consentimento. Quando o Tratamento for baseado em seu consentimento, você tem o direito de retirá-lo a qualquer momento. A retirada não afeta a licitude do Tratamento realizado com base em seu consentimento anteriormente à sua retirada.
• Direito de apresentar reclamação perante uma autoridade de supervisão. Você tem o direito de apresentar reclamação perante uma autoridade de supervisão de proteção de dados, em especial no Estado-Membro da União Europeia de sua residência habitual, local de trabalho ou local onde ocorreu a suposta infração. Uma lista das autoridades de supervisão da União Europeia está disponível em https://edpb.europa.eu/about-edpb/about-edpb/members_en. No Reino Unido, você pode contatar o Information Commissioner's Office em https://ico.org.uk. Na Suíça, você pode contatar o Federal Data Protection and Information Commissioner em https://www.edoeb.admin.ch.

Recomendamos que você nos contate pelo endereço support@ciosanna.com antes de apresentar uma reclamação, a fim de que tenhamos a oportunidade de tratar diretamente de suas preocupações.

Direitos nos Termos da California Consumer Privacy Act e da California Privacy Rights Act

Se você é residente na Califórnia, você possui os seguintes direitos nos termos do California Consumer Privacy Act, conforme alterado pelo California Privacy Rights Act (coletivamente, "CCPA"):

• Direito de saber. Você tem o direito de solicitar que divulguemos as categorias de Informações Pessoais que coletamos sobre você, as categorias de fontes das quais as Informações Pessoais foram coletadas, a finalidade comercial ou empresarial para a coleta (e, quando aplicável, a venda ou o compartilhamento) das Informações Pessoais, as categorias de terceiros com quem compartilhamos as Informações Pessoais e os dados específicos de Informações Pessoais que coletamos sobre você.
• Direito de excluir. Você tem o direito de solicitar a exclusão das Informações Pessoais que coletamos de você, sujeito às exceções enumeradas na CCPA (incluindo a conclusão de transações, a detecção de incidentes de segurança, o cumprimento de obrigações legais e outras).
• Direito de corrigir. Você tem o direito de solicitar que corrijamos Informações Pessoais imprecisas que mantemos sobre você.
• Direito de recusar a "sale or sharing". Você tem o direito de recusar a "sale" ou o "sharing" de suas Informações Pessoais, conforme esses termos são definidos pela CCPA. Conforme disposto na Seção 4.8, não vendemos Informações Pessoais mediante contraprestação financeira e não compartilhamos Informações Pessoais para "cross-context behavioral advertising". Reconhecemos o sinal do Global Privacy Control como uma solicitação válida de recusa.
• Direito de limitar o uso e a divulgação de Informações Pessoais Sensíveis. Você tem o direito de nos instruir a utilizar ou divulgar Informações Pessoais Sensíveis somente para as finalidades enumeradas na CCPA (como a prestação dos Serviços por você solicitados ou o cumprimento de obrigações legais). A Seção 12 desta Política descreve nossas práticas em relação às Informações Pessoais Sensíveis.
• Direito à portabilidade de dados. Quando sua solicitação de direito de saber assim especificar, você tem o direito de receber suas Informações Pessoais em formato portátil e, na medida em que for tecnicamente viável, de fácil utilização.
• Direito à não discriminação. Você tem o direito de não receber tratamento discriminatório pelo exercício de quaisquer de seus direitos previstos na CCPA, incluindo negativa de serviço, preços ou tarifas diferenciados ou níveis de qualidade distintos.

Para exercer seus direitos previstos na CCPA, consulte a Seção 9.6 abaixo. Você também pode designar um agente autorizado para fazer uma solicitação em seu nome, sujeito aos requisitos de verificação.

Shine the Light. A California Civil Code Section 1798.83 (a lei "Shine the Light") permite que residentes na Califórnia solicitem determinadas informações relativas à divulgação de Informações Pessoais que fazemos a terceiros para fins de marketing direto desses terceiros. Não divulgamos Informações Pessoais a terceiros para fins de marketing direto deles.

Direitos nos Termos das Leis de Privacidade dos Demais Estados dos Estados Unidos

Caso você seja residente de um estado dos Estados Unidos que disponha de uma lei abrangente de privacidade do consumidor (atualmente incluindo, sem limitação, Virgínia, Colorado, Connecticut, Utah, Texas, Oregon, Montana, New Hampshire, New Jersey, Tennessee, Delaware, Indiana, Iowa, Minnesota, Maryland, Nebraska, Rhode Island e Kentucky, bem como qualquer outro estado que possua uma lei abrangente de privacidade atualmente em vigor ou que venha a entrar em vigor), você poderá ter direitos semelhantes aos descritos acima, que podem incluir:

• O direito de acessar ou saber quais Informações Pessoais tratamos a seu respeito.
• O direito de corrigir Informações Pessoais imprecisas.
• O direito de excluir Informações Pessoais.
• O direito de obter uma cópia portátil das Informações Pessoais.
• O direito de recusar a venda de Informações Pessoais, a publicidade direcionada e a elaboração de perfis em prol de "decisions that produce legal or similarly significant effects".
• O direito de recorrer de uma negativa de solicitação de direitos.
• Em determinados estados, o direito de obter uma lista das categorias de terceiros a quem divulgamos Informações Pessoais.

O escopo específico de cada direito varia conforme o estado. Para exercer os direitos previstos na legislação do seu estado, consulte a Seção 9.6 abaixo. Reconhecemos o sinal Global Privacy Control como uma solicitação válida de recusa nos termos de cada lei estadual que contemple mecanismos universais de recusa. Quando a legislação estadual aplicável previr um processo de recurso, você poderá recorrer de nossa decisão sobre sua solicitação de direitos respondendo ao e-mail de nossa determinação ou entrando em contato conosco pelo endereço support@ciosanna.com com o assunto "Privacy Rights Appeal."

Direitos nos Termos de Outras Legislações Internacionais

• Brasil (Lei Geral de Proteção de Dados — LGPD): Caso você esteja localizado no Brasil, você possui direitos nos termos da LGPD substancialmente similares aos descritos na Seção 9.1, incluindo os direitos de acesso, retificação, anonimização, bloqueio, eliminação, portabilidade, informação sobre o compartilhamento e o direito de revogar o consentimento. Você também poderá apresentar reclamação perante a Autoridade Nacional de Proteção de Dados (ANPD).
• Canadá (Personal Information Protection and Electronic Documents Act — PIPEDA e legislações provinciais): Caso você esteja localizado no Canadá, você possui direitos de acesso, correção e retirada do consentimento em relação às suas Informações Pessoais nos termos da PIPEDA e das leis de privacidade provinciais aplicáveis (incluindo a Quebec Law 25). Você poderá apresentar reclamação perante o Office of the Privacy Commissioner of Canada ou perante o comissário provincial competente.
• Austrália (Privacy Act 1988): Caso você esteja localizado na Austrália, você possui direitos nos termos dos Princípios Australianos de Privacidade, incluindo os direitos de acesso, correção e reclamação. Você poderá apresentar reclamação perante o Office of the Australian Information Commissioner.
• Japão (Act on the Protection of Personal Information — APPI), Coreia do Sul (Personal Information Protection Act — PIPA) e outras jurisdições: Quando você estiver localizado em uma jurisdição que disponha de legislação abrangente de privacidade que lhe confira direitos de "data subject", honraremos tais direitos na medida em que sejam aplicáveis ao nosso Tratamento de suas Informações Pessoais.

Agentes Autorizados

Onde a legislação aplicável permitir, você poderá designar um agente autorizado para apresentar uma solicitação de direitos de privacidade em seu nome. Poderemos exigir: (a) comprovação de que você concedeu ao agente autorização por escrito e assinada para atuar em seu nome; (b) verificação de sua própria identidade, em conformidade com a Seção 9.6; e (c) confirmação diretamente de você de que autorizou a solicitação. Poderemos recusar solicitações de agentes que não satisfaçam esses requisitos.

Como Exercer Seus Direitos

Você pode exercer seus direitos por meio de qualquer um dos seguintes métodos:

• **Envie uma solicitação por meio de nosso formulário eletrônico em /legal/privacy-request** no CiosannaConnect.com. Este formulário é o método preferencial para visitantes e indivíduos que não possuem uma conta na Ciosanna, estando disponível a todos os indivíduos independentemente de sua relação com a Ciosanna.
• Envie-nos um e-mail para support@ciosanna.com com o assunto "Privacy Rights Request" e uma descrição de sua solicitação.
• Por meio das configurações de sua conta, caso você possua uma conta na Ciosanna, é possível acessar diretamente, atualizar e, em muitos casos, excluir determinadas categorias de Informações Pessoais utilizando os controles de privacidade disponíveis no produto para o seu tipo de conta.

Para processar sua solicitação, poderemos precisar verificar sua identidade. O processo de verificação depende do tipo de solicitação, da sensibilidade das Informações Pessoais envolvidas e do risco de dano decorrente de divulgação não autorizada. Poderemos solicitar que você forneça informações que correspondam às informações já constantes em nossos registros, que confirme a titularidade de um endereço de e-mail clicando em um link de verificação, ou que apresente documentação adicional em casos de maior risco. Não solicitaremos mais informações do que o razoavelmente necessário para verificar sua identidade e excluiremos quaisquer informações de verificação utilizadas exclusivamente para essa finalidade após a conclusão da verificação.

Prazos de resposta. Responderemos às solicitações de direitos verificáveis dentro dos prazos exigidos pela legislação aplicável, em geral:

• Quarenta e cinco (45) dias para solicitações nos termos do CCPA e da maioria das demais leis estaduais de privacidade dos EUA, com prorrogação permitida de até quarenta e cinco dias adicionais quando razoavelmente necessário e desde que tenhamos notificado você acerca da prorrogação.
• Trinta (30) dias para solicitações nos termos do EU GDPR, UK GDPR e da legislação suíça, com prorrogação permitida de até dois meses adicionais para solicitações complexas ou numerosas.
• Outros prazos conforme exigido pela legislação aplicável de sua jurisdição.

Exceções e recusas. Poderemos recusar o atendimento de uma solicitação de direitos, total ou parcialmente, quando permitido ou exigido por lei, inclusive quando a solicitação: não puder ser verificada; violar os direitos de outro indivíduo; se referir a Informações Pessoais cuja retenção seja exigida por lei; ou se enquadre em uma exceção legal específica (como aquelas enumeradas na CCPA Section 1798.105(d) para solicitações de exclusão). Quando recusarmos uma solicitação total ou parcialmente, explicaremos o motivo da recusa e informaremos você acerca do seu direito de recurso, quando aplicável.

Custos. Não cobramos honorários pelo atendimento de solicitações de direitos, exceto quando permitido por lei nos casos de solicitações manifestamente infundadas, excessivas ou repetitivas, hipótese em que poderemos cobrar uma taxa razoável ou recusar-nos a atender a solicitação.

Combinações Sensíveis e Categorias Especiais

Determinadas Informações Pessoais Sensíveis (incluindo origem racial ou étnica, crenças religiosas, orientação sexual, informações de saúde e informações biométricas) estão sujeitas a restrições adicionais nos termos da legislação aplicável, incluindo o GDPR (categorias especiais de "Personal Data" nos termos do Artigo 9). Não realizamos o Tratamento de categorias especiais de "Personal Data", exceto: (a) com o seu consentimento explícito; (b) quando o Tratamento for necessário para o estabelecimento, o exercício ou a defesa de pretensões jurídicas; (c) quando o Tratamento for exigido por lei (como para fins de conformidade com as normas de habitação justa, em regime estritamente restrito à necessidade de conhecimento); ou (d) com fundamento em outra base jurídica enumerada no Artigo 9 do GDPR ou em disposições análogas de outras legislações aplicáveis.

O Que Esta Seção Abrange

Esta Seção fornece transparência adicional sobre nosso uso de Tratamento automatizado e elaboração de perfis, incluindo o funcionamento do sistema de pontuação comportamental do Cio, a forma como ele pode ser utilizado em decisões a seu respeito e os direitos que você possui em relação a tais decisões. Esta Seção complementa, e deve ser lida em conjunto com, a Seção 9 desta Política e nossa FCRA Disclosure (disponível em /legal/fcra), que fornece detalhes adicionais relevantes para informações de pontuação utilizadas como "consumer report" nos termos do federal Fair Credit Reporting Act.

Descrição do Sistema de Pontuação Comportamental do Cio

O sistema de pontuação comportamental do Cio é um recurso da plataforma Ciosanna que, quando habilitado por um Cliente, gera uma pontuação numérica e indicadores de suporte destinados a sintetizar os padrões comportamentais de um Residente ao longo da vigência de uma locação. A pontuação é calculada com base em informações submetidas a Tratamento pela plataforma durante o curso ordinário das atividades de gestão imobiliária do Cliente, incluindo:

• Histórico de pagamentos, incluindo pagamentos realizados no prazo, pagamentos realizados com atraso, pagamentos devolvidos, pagamentos parciais e a utilização de recursos de pagamento automático.
• Padrões de comunicação, incluindo a capacidade de resposta a mensagens da administração imobiliária, o volume e a natureza das comunicações e a utilização dos recursos de mensagens disponíveis na plataforma.
• Comportamento em relação à manutenção, incluindo o volume e a natureza das solicitações de ordens de serviço, a cooperação com o agendamento de fornecedores e os resultados de resolução.
• Eventos de conformidade contratual, incluindo renovações de contrato de locação, notificações emitidas pela administração imobiliária, infrações documentadas e eventos similares.

A pontuação é recalculada periodicamente com base nos dados mais recentes, e os eventos contribuintes históricos são refletidos no peso da pontuação em conformidade com as especificações do sistema de pontuação.

Como a Pontuação Pode Ser Utilizada

A pontuação Cio é apresentada ao pessoal autorizado do Cliente dentro da plataforma. O uso da pontuação fica a critério do Cliente, sujeito às seguintes restrições:

• Políticas do Cliente e legislação aplicável: O uso da pontuação pelo Cliente é regido pelas próprias políticas do Cliente, pela legislação federal e estadual aplicável (incluindo a legislação de habitação justa) e pelo contrato do Cliente com a Ciosanna.
• Fair Credit Reporting Act: Quando o Cliente utilizar a pontuação como um "consumer report" na acepção do Fair Credit Reporting Act (por exemplo, para tomar uma decisão de elegibilidade para fins habitacionais), o Cliente estará obrigado a cumprir o FCRA, incluindo a obtenção dos consentimentos necessários e a prestação de notificações de ação adversa quando aplicável. Nossa FCRA Disclosure fornece informações adicionais.
• Fair Housing Act e legislações estaduais de habitação justa: As decisões baseadas na pontuação devem estar em conformidade com o Fair Housing Act e com as legislações estaduais e locais de habitação justa aplicáveis, incluindo a proibição de discriminação com base em características protegidas.
• Cio não toma decisões finais: O sistema de pontuação Cio não toma, por si só, decisões de locação, despejo, renovação de contrato de locação ou outras decisões habitacionais adversas. Tais decisões permanecem sob a responsabilidade do Cliente.

Seus Direitos em Relação à Tomada de Decisões Automatizadas

Quando você estiver sujeito a uma decisão que produza efeitos jurídicos que lhe digam respeito ou que o afete de forma igualmente significativa (como uma decisão de elegibilidade para locação) e a decisão for tomada com base em Tratamento automatizado (incluindo perfilamento), você terá os seguintes direitos:

• Direito de obter revisão humana. Você tem o direito de solicitar que um indivíduo humano qualificado revise a decisão. O Cliente (atuando como a entidade que toma a decisão) é responsável por fornecer essa revisão. Daremos suporte ao Cliente no fornecimento das informações necessárias.
• Direito de expressar seu ponto de vista. Você tem o direito de fornecer informações ou contexto adicionais que considere relevantes para a decisão.
• Direito de contestar a decisão. Você tem o direito de contestar a decisão e solicitar que ela seja reconsiderada.
• Direito a informações significativas sobre a lógica envolvida. Você tem o direito de receber informações significativas sobre a lógica do Tratamento automatizado, bem como sobre a relevância e as consequências previstas do Tratamento para você. Esta Seção, nossa Divulgação FCRA e a especificação de pontuação do Cio (disponível mediante solicitação) fornecem essas informações.

Para exercer esses direitos com relação a uma decisão que afete sua relação habitacional, você deve primeiramente entrar em contato com o Cliente que administra seu imóvel, pois é o Cliente (e não a Ciosanna) quem toma a decisão. Caso o suporte do Cliente não esteja disponível, você poderá entrar em contato conosco pelo endereço support@ciosanna.com e nós auxiliaremos no encaminhamento adequado de sua solicitação.

Cio AI Assistant e Cio Sales Agent (Recursos de Inteligência Artificial Generativa)

O Cio também inclui recursos de inteligência artificial generativa (o Cio AI Assistant disponível na plataforma e o Cio Sales Agent disponível no site de marketing). Esses recursos não tomam decisões que afetem seus direitos; eles geram respostas em texto às suas perguntas e solicitações. Divulgamos o uso de inteligência artificial generativa de forma clara em qualquer interação com o Cio, em conformidade com a legislação aplicável (incluindo o EU AI Act, Artigo 50, relativo às obrigações de transparência para sistemas de inteligência artificial destinados a interagir com pessoas naturais). Os resultados gerados pelos recursos de inteligência artificial generativa do Cio não têm exatidão garantida e não devem ser utilizados como substitutos de aconselhamento jurídico, financeiro, tributário ou de qualquer outra natureza profissional.

Vedação ao Uso de Informações Pessoais para Treinamento de Modelos de Inteligência Artificial de Terceiros

Exigimos contratualmente que nosso Suboperador de inteligência artificial se abstenha de utilizar suas Informações Pessoais (incluindo o conteúdo de suas interações com o Cio) para treinar modelos de inteligência artificial disponibilizados a terceiros. Suas interações com o Cio poderão ser utilizadas por nós, de forma agregada ou desidentificada, para avaliar e aprimorar os próprios recursos do Cio, observadas as salvaguardas descritas na Section 3.9.

Serviços Não Direcionados a Crianças

Os Serviços não são direcionados a crianças, e não coletamos intencionalmente Informações Pessoais diretamente de crianças. Para os fins desta Seção, "crianças" significa:

• Indivíduos com idade inferior a treze (13) anos, nos termos do Children's Online Privacy Protection Act dos Estados Unidos ("COPPA").
• Indivíduos com idade inferior a dezesseis (16) anos, nos termos do EU GDPR, exceto quando um Estado-Membro da União Europeia tiver estabelecido idade inferior (até treze anos).
• Indivíduos com idade inferior a dezoito (18) anos, para fins de determinadas proteções previstas na legislação da Califórnia relativas a menores (incluindo as disposições do California Online Privacy Protection Act referentes ao uso de serviços online por menores).
• Indivíduos considerados menores nos termos de qualquer outra legislação aplicável.

Se uma Criança Tiver Fornecido Informações Pessoais

Se você acredita que coletamos inadvertidamente Informações Pessoais de uma criança sem o devido consentimento parental, entre em contato conosco pelo endereço support@ciosanna.com. Investigaremos o caso e, quando cabível, excluiremos prontamente as Informações Pessoais, encerraremos qualquer conta associada às Informações Pessoais e adotaremos as demais medidas exigidas pela legislação aplicável.

Residentes com Menos de Dezoito Anos em Moradias Destinadas a Famílias

Reconhecemos que menores de idade podem residir em imóveis administrados por meio da plataforma Ciosanna (por exemplo, como integrantes do domicílio de um Residente). Nesses casos:

• Contamos com o Cliente para cumprimento da legislação aplicável no que se refere à coleta e ao uso de Informações Pessoais sobre membros menores de idade do domicílio.
• Não fornecemos contas no portal do Residente a indivíduos com idade inferior a dezoito anos. Quando um Cliente exigir uma conta no portal do Residente, tal conta deverá ser criada em nome de um Residente adulto ou de seu responsável legal.
• Coletamos apenas as informações mínimas sobre membros menores de idade do domicílio que sejam necessárias para a administração habitacional (como nome e grau de parentesco), e não coletamos Informações Pessoais Sensíveis sobre membros menores de idade do domicílio, salvo quando exigido por lei para fins de conformidade com a legislação de habitação justa e obtidas de um dos pais ou responsável legal.

Conformidade com as Leis Estaduais de Proteção de Menores

Monitoramos a evolução das legislações estaduais norte-americanas relativas à proteção de menores no ambiente digital (incluindo, sem limitação, o Florida Online Protections for Minors Act, o New York SAFE for Kids Act, o California Age-Appropriate Design Code Act e legislações similares atualmente em vigor ou que venham a entrar em vigor) e ajustamos nossas práticas para cumprir os requisitos aplicáveis. Uma vez que os Serviços não são direcionados a menores, muitos desses requisitos podem não ser aplicáveis pelos seus próprios termos; no entanto, sempre que algum requisito for aplicável aos Serviços, cumpriremos com o disposto.

Serviços Educacionais e Familiares

Os Serviços não são projetados para, comercializados para ou oferecidos como serviço educacional para crianças. Não coletamos, conscientemente, Informações Pessoais de crianças para fins educacionais ou quaisquer outros fins, e não realizamos publicidade direcionada a crianças.

Categorias de Informações Pessoais Sensíveis que Tratamos

No curso da prestação dos Serviços, podemos realizar o Tratamento das seguintes categorias de Informações Pessoais Sensíveis:

• Identificadores emitidos por órgãos governamentais, incluindo números de Seguro Social (e os quatro últimos dígitos destes), números de carteira de habilitação, números de documentos de identificação estaduais e documentação de imigração ou cidadania, em conexão com solicitações de locação e verificação de identidade para contas de Residentes.
• Informações de contas financeiras, incluindo números de contas bancárias e números de roteamento bancário (utilizados por nosso processador de pagamentos para transações ACH) e dados parciais de cartões de pagamento, utilizados para processar pagamentos, distribuições e repasses.
• Credenciais de acesso, incluindo senhas (armazenadas na forma de hashes, e não em texto simples) e tokens de autenticação multifator (MFA).
• Conteúdo preciso de comunicações, incluindo o conteúdo de mensagens, chamadas, correios de voz e conversas com o assistente de inteligência artificial.
• Informações sobre cidadania, situação migratória ou origem nacional, somente quando exigido pela legislação aplicável para fins de elegibilidade habitacional ou conformidade com a legislação de habitação justa.
• Informações sobre origem racial ou étnica, religião, orientação sexual, identidade de gênero, deficiência ou situação familiar, somente na medida em que um Cliente colete tais informações com a finalidade de cumprir as leis de habitação justa aplicáveis (incluindo o Fair Housing Act e as legislações estaduais equivalentes), e somente com base estritamente na necessidade de conhecimento.
• Informações de saúde, somente na medida em que você as forneça voluntariamente (por exemplo, em conexão com uma solicitação de acomodação razoável nos termos do Fair Housing Act ou do Americans with Disabilities Act, ou no contexto de informações médicas de um contato de emergência), e exclusivamente para a finalidade para a qual foram fornecidas.
• Informações biométricas, somente se e na medida em que um Cliente habilite, divulgue e obtenha os consentimentos necessários para um recurso opcional de controle de acesso que utilize identificadores biométricos.

Não realizamos o Tratamento de Informações Pessoais Sensíveis com a finalidade de inferir características a seu respeito, para fins de "cross-context behavioral advertising", nem para qualquer finalidade distinta daquelas descritas nesta Política.

Finalidades do Tratamento de Informações Pessoais Sensíveis

Realizamos o Tratamento de Informações Pessoais Sensíveis exclusivamente para as seguintes finalidades, as quais se limitam àquelas enumeradas na legislação aplicável (incluindo o rol de finalidades permitidas pelo CCPA no Section 1798.121):

• Execução dos Serviços razoavelmente esperada pelo consumidor médio que os solicita.
• Contribuição para a garantia da segurança e da integridade, na medida em que o uso seja razoavelmente necessário e proporcional.
• Detecção e resistência a ações maliciosas, enganosas, fraudulentas ou ilegais, bem como responsabilização dos respectivos autores.
• Prestação de serviços em nome de um Cliente (incluindo manutenção ou administração de contas; processamento ou cumprimento de pedidos e transações; verificação de informações; processamento de pagamentos; concessão de financiamento; fornecimento de serviços analíticos; fornecimento de armazenamento; e prestação de serviços similares em nome do Cliente).
• Verificação ou manutenção da qualidade ou segurança de um serviço ou dispositivo, bem como aprimoramento, atualização ou melhoria do serviço ou dispositivo.
• Cumprimento da legislação aplicável e do processo legal.

Proteções Especiais que Aplicamos

As Informações Pessoais Sensíveis estão sujeitas às seguintes proteções adicionais:

• Criptografia em nível de aplicação. As Informações Pessoais Sensíveis armazenadas em nosso banco de dados são protegidas por uma camada adicional de criptografia em nível de aplicação (AES-256-GCM com derivação de chave por locatário via HKDF), além da criptografia aplicada às Informações Pessoais comuns em repouso.
• Representações em hash pesquisáveis. Quando as Informações Pessoais Sensíveis precisarem ser pesquisáveis (por exemplo, para permitir consultas pelos quatro últimos dígitos de um número de Seguro Social para fins de prevenção de fraudes), utilizamos representações em hash com chave (HMAC), de modo que consultas autorizadas possam ser realizadas sem expor o texto simples.
• Acesso restrito. O acesso às Informações Pessoais Sensíveis por parte do pessoal da Ciosanna é estritamente limitado e registrado. O acesso pelo lado do Cliente é regido por controles de acesso baseados em função, configurados pelo Cliente em conformidade com a legislação aplicável e com as próprias políticas do Cliente.
• Retenção limitada. As Informações Pessoais Sensíveis são retidas apenas pelo tempo necessário à finalidade para a qual foram coletadas, sendo posteriormente excluídas ou objeto de restrição adicional, conforme descrito na Seção 6.4.
• Vedação ao uso para fins publicitários. Não utilizamos Informações Pessoais Sensíveis para fins de publicidade ou marketing.

Seu Direito de Limitar o Uso de Informações Pessoais Sensíveis

Quando a legislação aplicável (incluindo a CCPA) conferir o direito de limitar o uso ou a divulgação de Informações Pessoais Sensíveis a finalidades distintas daquelas enumeradas na lei, você poderá exercer esse direito mediante o envio de uma solicitação pelos meios descritos na Section 9.6. Como utilizamos Informações Pessoais Sensíveis apenas para as finalidades restritas descritas na Section 12.2 (as quais se enquadram nas exceções legais previstas), o exercício desse direito geralmente não restringirá o Tratamento atual de suas Informações Pessoais Sensíveis. No entanto, confirmaremos o escopo de nosso uso mediante solicitação e aplicaremos quaisquer restrições adicionais por você solicitadas, na medida em que sejam compatíveis com a legislação aplicável e com a prestação dos Serviços.

Habitação Justa e Não Discriminação

Quando Informações Pessoais Sensíveis puderem ser relevantes para uma decisão relacionada a moradia (por exemplo, informações sobre deficiência em conexão com uma solicitação de acomodação razoável, ou situação familiar), nós e nossos Clientes somos obrigados por lei a utilizar tais informações somente em conformidade com o Fair Housing Act e com as leis estaduais e locais análogas. O sistema de pontuação comportamental do Cio não utiliza informações relativas a categorias protegidas como variável de entrada para a pontuação. Caso você acredite que informações a seu respeito foram utilizadas de maneira incompatível com a legislação de habitação justa, você poderá registrar uma reclamação junto ao U.S. Department of Housing and Urban Development em https://www.hud.gov/fairhousing ou junto ao órgão estadual ou local de habitação justa competente.

Nossas Práticas

Não vendemos suas Informações Pessoais em troca de remuneração monetária ou outra contraprestação de valor, conforme o termo "sell" é definido pela California Consumer Privacy Act e leis análogas de outros estados dos Estados Unidos.

Não compartilhamos suas Informações Pessoais para fins de "cross-context behavioral advertising", conforme esse termo é definido pela California Privacy Rights Act e leis análogas. Não participamos de redes de publicidade de terceiros, não utilizamos cookies ou pixels publicitários de terceiros e não fornecemos suas Informações Pessoais a terceiros para que estes anunciem seus próprios produtos ou serviços a você em outros sites ou serviços.

Não nos envolvemos em "profiling in furtherance of decisions that produce legal or similarly significant effects" no sentido das leis estaduais de privacidade, exceto no que diz respeito ao sistema de pontuação comportamental do Cio, descrito em detalhes na Seção 10 desta Política. Quando o sistema de pontuação resultar em tais efeitos, asseguramos os direitos descritos na Seção 10.4.

Controle Global de Privacidade

Reconhecemos e respeitamos o sinal do Global Privacy Control (GPC) como uma solicitação válida de exclusão de qualquer atividade que possa ser caracterizada como "sale" ou "sharing" nos termos da legislação aplicável e, quando a legislação estadual aplicável tratar o GPC como mecanismo universal de exclusão, como uma exclusão válida de publicidade direcionada e de determinadas formas de elaboração de perfis.

Quando seu navegador transmite um sinal GPC ao nosso site, automaticamente:

• Tratamos sua visita como uma exclusão de qualquer "sale or sharing" de Informações Pessoais, ainda que não realizemos a venda ou o compartilhamento de Informações Pessoais no curso ordinário de nossos negócios.
• Aplicamos configurações de cookies essenciais apenas às Tecnologias de Rastreamento não essenciais, incluindo a supressão de quaisquer Tecnologias de Rastreamento analíticas, de marketing ou funcionais que não sejam estritamente necessárias.
• Registramos o sinal GPC e o associamos à sua sessão, de modo que a atividade subsequente seja tratada de forma consistente com a exclusão.

Os estados cujas legislações reconhecem expressamente mecanismos universais de exclusão, como o GPC, incluem, na data de vigência desta Política, Califórnia, Colorado, Connecticut, Texas, Oregon, Montana, New Hampshire, New Jersey, Delaware, Nebraska e Minnesota, bem como qualquer outro estado que tenha adotado reconhecimento equivalente posteriormente.

Como Enviar uma Solicitação de Opt-Out Manualmente

Além do GPC, você pode enviar uma solicitação de exclusão por meio de qualquer um dos seguintes métodos:

• Clique no link "Cookie Settings" no rodapé do nosso site para ajustar suas preferências de cookies a qualquer momento. Definir todas as categorias não essenciais como "off" tem o mesmo efeito que um sinal GPC.
• **Envie uma solicitação por meio do formulário de solicitação de privacidade em /legal/privacy-request** e selecione "opt out of sale or sharing" como tipo de solicitação.
• Envie-nos um e-mail para support@ciosanna.com com o assunto "Opt-Out Request."

Aviso no Momento da Coleta

Esta Política de Privacidade, em conjunto com os avisos contextuais que fornecemos no momento da coleta (como o banner de consentimento de cookies, os rótulos em nossos formulários e as divulgações incluídas em qualquer conteúdo gerado por inteligência artificial), constitui nosso "notice at collection" conforme exigido pelo CCPA e pelas leis análogas de outros estados dos EUA. O "notice at collection" estabelece as categorias de Informações Pessoais que coletamos, as finalidades da coleta, se as informações são objeto de "sale or sharing" (não são, exceto conforme descrito acima) e as categorias de Informações Pessoais Sensíveis coletadas.

Direito de Limitar o Uso e a Divulgação de Informações Pessoais Sensíveis

Conforme descrito na Seção 12.4, você tem o direito, nos termos de determinadas leis estaduais de privacidade, de limitar o uso e a divulgação de Informações Pessoais Sensíveis a finalidades específicas e enumeradas. Como utilizamos Informações Pessoais Sensíveis exclusivamente para essas finalidades, o exercício desse direito não restringirá materialmente nosso Tratamento atual, mas honramos o direito confirmando o escopo de nosso uso mediante solicitação.

Não Discriminação

Não discriminaremos você pelo exercício de quaisquer dos seus direitos nos termos da legislação de privacidade aplicável, inclusive mediante negativa de Serviços, cobrança de preços ou tarifas diferenciados, fornecimento de nível ou qualidade distinta de Serviços, ou sugestão de que você receberá preço ou qualidade de Serviços diferenciados em decorrência do exercício de seus direitos, exceto na medida expressamente permitida pela legislação aplicável (como nos casos em que a diferença esteja razoavelmente relacionada ao valor que seus dados nos proporcionam).

Categorias de Comunicações

Enviamos duas categorias principais de comunicações:

• Comunicações transacionais e operacionais incluem confirmações de conta, redefinições de senha, códigos de verificação de login, extratos de cobrança, comprovantes de pagamento, avisos de falha no pagamento, alertas de segurança, lembretes de locação e aluguel, atualizações de ordens de serviço, avisos de distribuição a proprietários, atribuições de ordens de serviço a fornecedores, avisos de manutenção do sistema, avisos legais (incluindo avisos de alterações nesta Política de Privacidade ou nos Termos de Serviço) e outras comunicações necessárias à prestação dos Serviços ou exigidas por lei. Em geral, você não pode cancelar o recebimento de comunicações transacionais e operacionais enquanto mantiver uma conta ativa ou relacionamento conosco, pois essas comunicações são necessárias para o cumprimento do contrato por nossa parte ou para o atendimento de obrigações legais.
• Comunicações de marketing incluem boletins informativos, anúncios de produtos, ofertas promocionais, convites para eventos, ações de atendimento ao cliente, abordagens comerciais e comunicações similares destinadas a informá-lo sobre produtos, funcionalidades e ofertas da Ciosanna. Você pode cancelar o recebimento de comunicações de marketing a qualquer momento, independentemente de qualquer outro relacionamento que mantenha conosco.

Bases Jurídicas e Consentimento

• Nos Estados Unidos: Enviamos e-mails de marketing a clientes existentes com base na isenção de "established business relationship" permitida pela lei federal CAN-SPAM Act, e a assinantes que optaram por receber comunicações de marketing de forma afirmativa. Todo e-mail de marketing inclui um link claro de "cancelamento de assinatura" e nosso endereço postal físico válido, conforme exigido pela CAN-SPAM.
• No Espaço Econômico Europeu, no Reino Unido e na Suíça: Enviamos comunicações de marketing apenas quando dispusermos de base jurídica adequada, que é, em regra, o seu consentimento prévio, livre, específico, informado e inequívoco. Recorremos à exceção de "soft opt-in" (quando aplicável nos termos das implementações nacionais da ePrivacy Directive) exclusivamente para o marketing de nossos próprios produtos similares a clientes existentes, e somente quando a você foi oferecida uma oportunidade clara de recusar o recebimento no momento da coleta e em cada comunicação subsequente.
• No Canadá: Cumprimos a Anti-Spam Legislation canadense (CASL), enviando mensagens eletrônicas comerciais apenas com o seu consentimento expresso ou implícito e incluindo em cada mensagem comercial as informações de identificação, contato e cancelamento de assinatura exigidas.
• Em outras jurisdições: Enviamos comunicações de marketing em conformidade com a legislação aplicável de sua jurisdição.

SMS, Voz e Outros Canais

Quando você tiver fornecido um número de telefone celular e consentido em receber mensagens de texto, poderemos enviar mensagens transacionais e, quando você tiver optado separadamente, mensagens de marketing por SMS. Tarifas de mensagens e dados podem ser aplicadas. Cumprimos o Telephone Consumer Protection Act (TCPA) e legislações análogas que regem as comunicações telefônicas automatizadas. Você pode cancelar o recebimento de mensagens de marketing por SMS a qualquer momento respondendo STOP a qualquer SMS de marketing ou entrando em contato com support@ciosanna.com. Mensagens transacionais padrão (como códigos de verificação de login e confirmações de pagamento) poderão continuar a ser enviadas, salvo se você remover seu número de telefone de sua conta.

Não realizamos chamadas telefônicas de marketing outbound utilizando tecnologia de discagem automatizada, exceto quando expressamente permitido pela legislação aplicável. Não efetuamos chamadas para números de telefone constantes do National Do Not Call Registry, salvo quando se aplicar uma isenção.

Notificações no Produto

Na plataforma Ciosanna, podemos exibir notificações no produto (como banners, caixas de diálogo e mensagens de alerta). Essas notificações podem incluir comunicados operacionais, lançamentos de funcionalidades e, ocasionalmente, conteúdo promocional. Pode não ser possível suprimir globalmente todas as notificações no produto, mas envidaremos esforços razoáveis para rotular claramente as notificações promocionais no produto e para disponibilizar controles de dispensa.

Como Cancelar o Recebimento de Comunicações de Marketing

Você pode cancelar o recebimento de comunicações de marketing por qualquer um dos seguintes métodos:

• Clique no link "cancelar inscrição" no rodapé de qualquer e-mail de marketing que receber de nós.
• Atualize suas preferências de comunicação em suas configurações de conta, caso possua uma conta Ciosanna.
• Responda STOP a qualquer SMS de marketing que receber de nós.
• Envie-nos um e-mail para support@ciosanna.com com o assunto "Opt-Out of Marketing."

Honraremos as solicitações de cancelamento o mais breve possível, e em qualquer hipótese dentro dos prazos exigidos pela legislação aplicável (tipicamente dez dias úteis nos termos do CAN-SPAM Act).

Efeito da Exclusão

Cancelar o recebimento de comunicações de marketing não afeta as comunicações transacionais ou operacionais e não afeta sua conta nem qualquer outra relação mantida com nós. Você pode se reinscrever a qualquer momento atualizando suas preferências de comunicação nas configurações da sua conta ou entrando em contato conosco.

Abordagem em Relação aos Suboperadores

Contratamos Suboperadores para realizar funções específicas necessárias à operação dos Serviços. Cada Suboperador está vinculado a um contrato escrito que exige, no mínimo: (a) o Tratamento de Informações Pessoais exclusivamente de acordo com nossas instruções documentadas; (b) sigilo em relação às Informações Pessoais; (c) implementação de medidas de segurança técnicas e organizacionais adequadas; (d) restrições à contratação de suboperadores adicionais sem nossa aprovação; (e) cooperação conosco no atendimento a solicitações de titulares de dados e a consultas de autoridades supervisoras; (f) assistência na notificação de violações de dados pessoais; (g) eliminação ou devolução das Informações Pessoais ao término do contrato; e (h) submissão a auditorias ou inspeções para verificação de conformidade.

Suboperadores Materiais Atuais

Os principais Suboperadores que atualmente contratamos para dar suporte aos Serviços estão listados abaixo. Esta lista está sujeita a alterações. Atualizamos esta lista quando contratamos um novo Suboperador relevante ou encerramos o contrato com um já existente.

• Supabase, Inc. — Hospedagem de banco de dados, autenticação, armazenamento de arquivos e segurança em nível de linha para Informações Pessoais tratadas na plataforma Ciosanna. País de tratamento: Estados Unidos.
• Stripe, Inc. — Processamento de pagamentos referentes a assinaturas de Clientes, pagamentos de aluguel de Residentes, distribuições a Proprietários de Imóveis e repasses a Fornecedores. A Stripe atua como controladora independente em relação a determinadas informações relacionadas a pagamentos que ela trata para seus próprios fins de conformidade e prevenção de fraudes. País de tratamento: Estados Unidos.
• Twilio Inc. (SendGrid) — Entrega de e-mails transacionais e de marketing, incluindo análises de engajamento e entregabilidade de e-mails. País de tratamento: Estados Unidos.
• Cloudflare, Inc. — Rede de distribuição de conteúdo, firewall de aplicação web, proteção contra ataques distribuídos de negação de serviço, gerenciamento de bots (incluindo Bot Fight Mode e o CAPTCHA Turnstile) e geolocalização por endereço IP. País de tratamento: Estados Unidos e rede de borda global.
• Anthropic, PBC — Serviços de modelos de linguagem de grande escala que alimentam o Cio AI Assistant na plataforma e o Cio Sales Agent no site de marketing. A Anthropic está contratualmente impedida de utilizar suas conversas para treinar seus modelos de inteligência artificial. País de tratamento: Estados Unidos.
• Replit, Inc. — Infraestrutura de desenvolvimento em nuvem e hospedagem de aplicações para a plataforma Ciosanna e o site de vendas CiosannaConnect.com. País de tratamento: Estados Unidos.

Podemos também contratar Suboperadores adicionais em caráter transitório ou de escopo limitado (por exemplo, empresas de serviços profissionais que atuem como consultores confidenciais, fornecedores de verificação de identidade contratados por um Cliente ou fornecedores de análises utilizados com base em preservação de privacidade), em cada caso sujeitos às salvaguardas contratuais descritas na Seção 15.1.

Aviso sobre Novos Suboperadores e Direito de Oposição

Quando exigido por um Adendo de Tratamento de Dados aplicável celebrado com um Cliente, forneceremos ao Cliente aviso prévio sobre qualquer novo Suboperador relevante e uma oportunidade razoável de manifestar objeção. Caso um Cliente objete a um novo Suboperador com fundamentos razoáveis de proteção de dados, trabalharemos de boa-fé com o Cliente para encontrar uma solução mutuamente aceitável, que poderá incluir a adoção de salvaguardas adicionais ou, nas hipóteses em que não seja possível alcançar uma solução, a permissão para que o Cliente rescinda a parte dos Serviços afetada.

Lista Atual de Suboperadores

Uma versão atual e datada da lista de Suboperadores relevantes está disponível mediante solicitação, por meio de contato com support@ciosanna.com. Forneceremos a lista acompanhada do país de Tratamento de cada Suboperador e das categorias de Informações Pessoais que cada Suboperador realiza o Tratamento.

Divulgação de Interações com Inteligência Artificial

Em conformidade com o Artigo 50 da Lei de Inteligência Artificial da União Europeia (Regulation (EU) 2024/1689) e obrigações de transparência análogas em outras jurisdições, divulgamos de forma clara e ostensiva sempre que você estiver interagindo com um sistema de inteligência artificial em vez de um ser humano. O Cio Sales Agent em CiosannaConnect.com e o Cio AI Assistant na plataforma Ciosanna são sistemas de inteligência artificial alimentados por grandes modelos de linguagem fornecidos por nosso Suboperador de inteligência artificial (Anthropic, PBC). Cada interação com o Cio é identificada como uma interação de inteligência artificial no início da conversa, e medidas razoáveis são adotadas para lembrá-lo da natureza artificial da interação caso a conversa se estenda por um período significativo.

Identificação de Conteúdo Gerado por Inteligência Artificial

Quando o Cio gera conteúdo que possa ser razoavelmente confundido com conteúdo criado por um ser humano (incluindo respostas às suas perguntas, resumos gerados ou textos gerados), o conteúdo é apresentado em uma interface de inteligência artificial claramente identificada e não é apresentado como de autoria humana. Não geramos mídia sintetizada por inteligência artificial (como imagens, áudios ou vídeos manipulados por deepfake). Caso passemos a gerar mídia sintetizada por inteligência artificial no futuro, iremos identificá-la como gerada ou manipulada artificialmente, em conformidade com a legislação aplicável.

Limitações do Conteúdo Gerado por Inteligência Artificial

O conteúdo gerado por inteligência artificial é fornecido exclusivamente para fins informativos e de conversação. Ele pode ser impreciso, incompleto ou desatualizado. Não constitui aconselhamento jurídico, financeiro, tributário, imobiliário, médico ou de qualquer outra natureza profissional. Você não deve se basear em conteúdo gerado por inteligência artificial para qualquer decisão que tenha consequências relevantes sem verificação independente. Quando o conteúdo gerado por inteligência artificial fornecer uma resposta que conflite com esta Política de Privacidade, com os Termos de Serviço ou com outra documentação autoritativa, a documentação autoritativa prevalecerá.

Sem Criação de Perfis com Base em Conversas de Inteligência Artificial

Não utilizamos o conteúdo de suas conversas com Cio para elaborar um perfil seu para fins publicitários, para tomar decisões de elegibilidade sobre você, ou para compartilhar características suas com terceiros para fins de marketing. Podemos utilizar informações agregadas ou desidentificadas sobre padrões de conversas para aprimorar os próprios recursos do Cio, conforme descrito na Seção 3.9.

Seu Direito de Interagir com um Ser Humano

Você tem o direito, a qualquer momento, de encerrar uma interação com a IA e, em vez disso, interagir com um ser humano (no caso do Cio Sales Agent, enviando um e-mail para support@ciosanna.com ou agendando uma demonstração com um membro de nossa equipe; no caso do Cio AI Assistant na plataforma, entrando em contato com os administradores designados pela organização do Cliente ou, quando o Cliente disponibilizar um canal de suporte humano, por meio desse canal).

Classificação nos Termos do EU AI Act

Avaliamos os recursos do Cio em relação às categorias estabelecidas pelo EU AI Act e determinamos que, em sua configuração atual, eles não constituem "high-risk AI systems" na acepção do Annex III do referido Ato. Reavalilaremos essa classificação à medida que os recursos do Cio evoluam e que as orientações das autoridades da União Europeia se desenvolvam. Caso determinemos que algum recurso do Cio se enquadra em uma categoria de alto risco, cumpriremos os requisitos adicionais aplicáveis aos "high-risk AI systems", incluindo os requisitos de gestão de riscos, governança de dados, documentação técnica, manutenção de registros, transparência, supervisão humana, precisão, robustez e cibersegurança.

Nenhuma Decisão Baseada Exclusivamente em IA

Conforme descrito na Seção 10, o Cio não toma, por si só, decisões que produzam efeitos jurídicos ou que afetem você de forma igualmente significativa. O sistema de pontuação comportamental do Cio é uma ferramenta de apoio à decisão cujos resultados são revisados e executados por seres humanos (normalmente, pessoal autorizado do Cliente). O Cio AI Assistant e o Cio Sales Agent geram respostas em texto a partir de solicitações dos usuários e não agem de forma autônoma em sua conta nem tomam ações de consequência em seu nome.

Motivos das Alterações

Podemos atualizar esta Política de Privacidade periodicamente para refletir alterações em nossas práticas, nos Serviços, em nossos Suboperadores, na legislação aplicável ou na interpretação da legislação aplicável. Também podemos atualizar esta Política para esclarecer a redação ou corrigir erros.

Categorias de Alterações

Classificamos as alterações a esta Política de Privacidade em duas categorias:

• Alterações não substanciais são alterações que não afetam materialmente seus direitos nem a forma como realizamos o Tratamento de suas Informações Pessoais. Exemplos incluem esclarecimentos, correções de erros tipográficos, alterações nos nomes de Suboperadores que não impliquem qualquer mudança na função desempenhada e alterações de formatação menores.
• Alterações substanciais são alterações que afetam materialmente seus direitos ou a forma como realizamos o Tratamento de suas Informações Pessoais. Exemplos incluem a adição de novas categorias de Informações Pessoais coletadas, novas finalidades de Tratamento, novas categorias de Suboperadores ou destinatários, alterações na forma como respeitamos os sinais de recusa, alterações que reduzam seus direitos de privacidade e alterações em nossos compromissos de notificação de incidentes.

Aviso de Alterações

Quando realizarmos alterações nesta Política de Privacidade, iremos:

• Publicar a Política de Privacidade atualizada no site CiosannaConnect.com.
• Atualizar a data de "Última Atualização" no início da Política.
• Para alterações materiais, fornecer aviso adicional por meio de um ou mais dos seguintes canais, conforme apropriado: (a) e-mail para o endereço de e-mail cadastrado; (b) uma notificação destacada dentro do produto na plataforma Ciosanna na próxima vez que você fizer login; (c) um banner no site; ou (d) qualquer outro meio razoavelmente destinado a informá-lo sobre a alteração.
• Quando a legislação aplicável exigir aviso prévio de uma alteração material, forneceremos tal aviso antes da data de vigência.
• Quando a legislação aplicável exigir seu consentimento expresso a uma alteração material antes que ela se aplique às suas Informações Pessoais, obteremos esse consentimento antes de aplicar a alteração.

Data de Vigência e Uso Continuado

Cada Política de Privacidade atualizada entra em vigor a partir da "Data de Vigência" indicada no topo da Política atualizada, salvo se uma data de vigência anterior ou posterior for especificada para uma disposição específica. O uso continuado dos Serviços após a Data de Vigência de uma Política de Privacidade atualizada constitui sua aceitação da Política atualizada, na medida permitida pela legislação aplicável e sujeito a qualquer requisito de consentimento descrito na Seção 17.3.

Versões Anteriores

Você pode solicitar uma cópia de qualquer versão anterior desta Política de Privacidade entrando em contato conosco pelo endereço support@ciosanna.com. Retemos versões anteriores em conformidade com nossas políticas de retenção de documentos.

Como Entrar em Contato Conosco

Para qualquer dúvida, solicitação, preocupação ou reclamação relacionada a esta Política de Privacidade, às nossas práticas de privacidade ou ao Tratamento de suas Informações Pessoais, entre em contato conosco por qualquer um dos seguintes meios:

• E-mail: support@ciosanna.com
• Correio postal: Ciosanna LLC, 714 W 2nd St, Waitsburg, WA 99361, Estados Unidos
• Formulário online: Envie uma solicitação por meio de nosso formulário de solicitação de privacidade em https://www.ciosannaconnect.com/legal/privacy-request

Ao entrar em contato conosco, inclua informações suficientes para que possamos identificá-lo(a) e compreender a natureza de sua consulta ou solicitação, tendo o cuidado de não incluir Informações Pessoais Sensíveis desnecessárias em sua comunicação inicial.

Contato de Privacidade Designado

Consultas dirigidas a support@ciosanna.com com uma linha de assunto indicando uma questão de privacidade (como "Privacy Request," "Privacy Rights Request," "DSAR," ou "Privacy Complaint") serão encaminhadas ao pessoal responsável pelo tratamento de questões de privacidade na Ciosanna.

Representante na UE

A Ciosanna não oferece atualmente os Serviços na União Europeia e, portanto, não designou um representante na União nos termos do Artigo 27 do GDPR. Um representante será designado nos termos do Artigo 27 antes de qualquer lançamento dos Serviços na União Europeia, e esta Política de Privacidade será atualizada nesse momento. Até que um representante na UE seja formalmente designado, os residentes da UE poderão entrar em contato conosco diretamente pelos meios descritos na Seção 18.1. A designação de um representante na UE não afeta nossas responsabilidades ou obrigações, nem as de nossos representantes, nos termos do GDPR.

Representante no Reino Unido

Onde somos obrigados a designar um representante no Reino Unido nos termos do Artigo 27 do UK GDPR, o representante designado para o Reino Unido será identificado nesta Seção. Até que um representante no Reino Unido seja formalmente designado, os residentes do Reino Unido poderão entrar em contato conosco diretamente pelos meios descritos na Seção 18.1.

Direito de Apresentar Reclamação Perante uma Autoridade Supervisora

Caso você acredite que o Tratamento de suas Informações Pessoais viola a legislação aplicável, você tem o direito de apresentar uma reclamação perante uma autoridade supervisora, em especial no país ou estado de sua residência habitual, local de trabalho ou local onde a suposta violação teria ocorrido. A seguir, constam informações não exaustivas sobre as principais autoridades supervisoras relevantes para nossos usuários:

• União Europeia: Uma lista das autoridades supervisoras nacionais é mantida pelo EDPB em https://edpb.europa.eu/about-edpb/about-edpb/members_en. Você pode apresentar uma reclamação perante a autoridade supervisora do Estado-Membro da UE de sua residência habitual, local de trabalho ou local onde a suposta infração teria ocorrido.
• Reino Unido: Information Commissioner's Office (ICO), https://ico.org.uk, telefone +44 0303 123 1113.
• Suíça: Federal Data Protection and Information Commissioner (FDPIC), https://www.edoeb.admin.ch.
• Califórnia, Estados Unidos: California Privacy Protection Agency (https://cppa.ca.gov) e California Attorney General (https://oag.ca.gov/privacy).
• Demais estados dos Estados Unidos: Consultas relativas às leis estaduais de privacidade podem ser direcionadas ao Procurador-Geral do estado competente. As informações de contato de cada Procurador-Geral estadual estão disponíveis em https://www.naag.org/find-my-ag/.
• Canadá: "Office of the Privacy Commissioner of Canada" (https://www.priv.gc.ca) e, para residentes no Quebec, a "Commission d'accès à l'information" du Québec (https://www.cai.gouv.qc.ca).
• Brasil: Autoridade Nacional de Proteção de Dados (ANPD), https://www.gov.br/anpd.
• Austrália: Office of the Australian Information Commissioner (OAIC), https://www.oaic.gov.au.

Encorajamos você a entrar em contato conosco pelo endereço support@ciosanna.com antes de apresentar uma reclamação, a fim de que tenhamos a oportunidade de tratar suas preocupações diretamente.

Reclamações sobre Habitação Justa

Se a sua reclamação disser respeito ao uso dos Serviços por um Cliente de forma que você acredite violar o Fair Housing Act ou legislação estadual ou local análoga de habitação justa, você poderá apresentar uma reclamação ao U.S. Department of Housing and Urban Development em https://www.hud.gov/fairhousing, ou ao órgão estadual ou local de habitação justa competente. Cooperaremos com investigações e procedimentos relacionados à habitação justa conforme exigido por lei.

Reclamações nos Termos do Fair Credit Reporting Act

Caso sua reclamação diga respeito ao uso de informações de relatório de consumidor (incluindo o sistema de pontuação comportamental do Cio na medida em que seja utilizado como relatório de consumidor) de forma que você acredite violar o Fair Credit Reporting Act, você poderá registrar uma reclamação junto ao Consumer Financial Protection Bureau federal em https://www.consumerfinance.gov, junto à Federal Trade Commission em https://www.ftc.gov, ou junto à autoridade regulatória estadual competente. Nossa Divulgação FCRA (disponível em /legal/fcra) fornece informações adicionais.

Acessibilidade

Se você precisar desta Política de Privacidade em formato alternativo acessível, ou se precisar de assistência para exercer seus direitos de privacidade, entre em contato conosco pelo endereço support@ciosanna.com e providenciaremos uma acomodação razoável.