Regulamento Geral sobre a Proteção de Dados (GDPR) e Estrutura de Proteção de Dados
O Regulamento Geral sobre a Proteção de Dados (GDPR) é uma lei da União Europeia aplicável a todas as organizações, independentemente de sua localização, que tratem dados pessoais de pessoas no Espaço Econômico Europeu (EEE; os 27 Estados-Membros da UE, além da Islândia, Noruega e Liechtenstein) no contexto da oferta de bens ou serviços ou do monitoramento de seu comportamento. De acordo com o GDPR, as organizações devem identificar uma base legal para o tratamento de dados pessoais, informar às pessoas quais dados são coletados e como serão utilizados, atender às solicitações de acesso, correção ou exclusão de informações pessoais, adotar controles de segurança adequados para proteger os dados pessoais contra acesso não autorizado, notificar as pessoas e as autoridades sobre violações de dados, nomear um Encarregado de Proteção de Dados e considerar a privacidade desde o início de uma atividade, em vez de tratá-la posteriormente. O GDPR também restringe a transferência de dados pessoais para fora do EEE, a menos que existam salvaguardas para garantir uma proteção essencialmente equivalente na jurisdição de destino.
A F5 está em conformidade com o GDPR, conforme detalhado em nosso Aviso de Privacidade. A F5 presta serviços na qualidade de operadora para seus clientes da Plataforma de Nuvem Distribuída, que atuam como controladores (ou na qualidade de suboperadora para clientes que atuam como operadores). Dessa forma, a F5 cumpre o Artigo 28 em cada uma de suas ofertas de Nuvem Distribuída. A F5 participa do Quadro de Privacidade de Dados UE-EUA, que, segundo a Comissão Europeia, oferece proteção adequada para transferências a empresas participantes nos Estados Unidos, e utiliza as Cláusulas Contratuais Padrão para proteger os dados pessoais transferidos para unidades globais do SOC para fins de suporte. Além disso, a F5 mantém um sólido programa de privacidade e segurança para garantir que os clientes possam cumprir suas obrigações previstas no GDPR. Entre em contato com um representante de vendas para solicitar uma cópia do relatório SOC 2 Tipo II da F5, emitido anualmente, que está disponível mediante acordo de confidencialidade (NDA) e inclui uma tabela que relaciona seus controles aos requisitos do GDPR.
Perguntas frequentes
Para muitos serviços, a F5 atua como “operadora” (e não como controladora) dos dados pessoais necessários para prestar um serviço. Os detalhes sobre os dados pessoais que a F5 trata estão descritos nas Declarações de Privacidade de cada serviço. Encontre todos os links para as Declarações de Privacidade específicas de cada serviço na introdução do Aviso de Privacidade da F5 em https://www.f5.com/company/policies/privacy-notice.
A F5 e seus serviços priorizam a proteção de dados pessoais e mantêm os mais elevados padrões de privacidade de dados.[TJ1] [AC2] Os controles técnicos e organizacionais que protegem os dados pessoais coletados pela F5 estão descritos nos contratos específicos dos serviços (por exemplo, os Termos Específicos do Serviço aplicáveis aos serviços prestados de acordo com nosso Contrato de Serviços ao Usuário Final) e no relatório SOC 2 Tipo II da F5. O Suporte Global da F5 possui certificação ISO 27001, e os serviços F5 Distributed Cloud possuem certificação ISO 27001, com extensões ISO 27017 e ISO 27018. A F5 também está em conformidade com o PCI DSS como Provedor de Serviços de Nível 1 para os serviços F5 Distributed Cloud. Certificações de segurança adicionais se aplicam a serviços e equipamentos específicos da F5. Encontre informações mais detalhadas sobre as práticas de segurança de dados em https://www.f5.com/company/policies/privacy-notice.
Os clientes cuja sede principal está localizada na Europa, no Oriente Médio ou na África (coletivamente, EMEA) recebem serviços por meio de contratos com a F5 Networks, Ltd. A F5 Networks, cuja sede fica no Reino Unido e que foi constituída de acordo com as leis desse país, é o centro das operações da F5 na região EMEA. As autoridades da UE e da Suíça reconheceram que as leis do Reino Unido oferecem proteção aos dados pessoais, atendendo plenamente aos requisitos do Capítulo V do GDPR e da legislação suíça equivalente.
Os clientes com sede na região da Ásia-Pacífico (APAC) celebram contratos com a F5 Networks Singapore Pte Ltd., em Singapura. Todos os demais clientes (inclusive aqueles com sede na América do Norte) celebram contratos com a F5, Inc., nos Estados Unidos. Para todos os serviços da F5, o Adendo de Proteção de Dados (DPA), complementado pelos Termos Específicos do Serviço, inclui as Cláusulas Contratuais Padrão e as disposições aplicáveis a todas as transferências para a F5 sujeitas à legislação pertinente. Essas Cláusulas Contratuais Padrão são acompanhadas pelo adendo sobre transferências internacionais de dados publicado pelo governo do Reino Unido para transferências envolvendo o país, bem como por disposições adicionais publicadas pelo Comissário Federal de Proteção de Dados e Informação da Suíça para transferências envolvendo o país. Para os serviços pertinentes, a F5 também mantém certificação no âmbito do Marco de Privacidade de Dados UE-EUA, da Extensão do Reino Unido ao Marco de Privacidade de Dados UE-EUA e do Marco de Privacidade de Dados Suíça-EUA.
Sim. Para os serviços pertinentes, a F5 mantém uma certificação no âmbito do Quadro de Privacidade de Dados UE-EUA, da Extensão do Reino Unido ao Quadro de Privacidade de Dados UE-EUA e do Quadro de Privacidade de Dados Suíça-EUA.
Não. Essas duas disposições legais dos EUA, que foram o foco da decisão Schrems II, não afetam a F5. De qualquer forma, devido aos aprimoramentos na legislação dos EUA após a decisão Schrems II, a Comissão Europeia determinou, em sua Decisão de Execução de 10/07/2023, nos termos do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, relativa ao nível adequado de proteção de dados pessoais no âmbito do Quadro de Privacidade de Dados UE-EUA, que as preocupações anteriores sobre essas disposições foram solucionadas. O Comitê Europeu para a Proteção de Dados (EDPB) analisou a decisão da Comissão Europeia e observou (em sua Nota informativa sobre transferências de dados nos termos do GDPR para os Estados Unidos após a adoção da decisão de adequação em 10 de julho de 2023) que “todas as salvaguardas implementadas pelo governo dos EUA na área de segurança nacional (incluindo o mecanismo de recurso) se aplicam a todos os dados transferidos para os EUA, independentemente do instrumento de transferência utilizado” (ou seja, independentemente de os dados serem transferidos para os Estados Unidos por meio do Quadro de Privacidade de Dados, de Cláusulas Contratuais Padrão ou de outro instrumento de transferência).
A F5 nunca recebeu uma solicitação de acesso a dados nem qualquer outro tipo de ordem nos termos da Seção 702 da FISA. Muitos serviços da F5 não se enquadram no tipo de serviço que pode ser alvo de uma ordem nos termos da Seção 702 da FISA. Além disso, para quase todos os clientes dos serviços da F5, a F5 não processa o tipo de dado que pode ser alvo de uma ordem nos termos da Seção 702 da FISA, que se aplica a dados sobre a proliferação de armas de destruição em massa, planos de potências estrangeiras para ataques aos Estados Unidos, informações de inteligência sobre atividades clandestinas de espiões estrangeiros ou outras “informações de inteligência estrangeira” na acepção da FISA.
A F5 também não pode receber uma ordem para fornecer dados de clientes com base na EO 12333, pois não existe uma ordem desse tipo. A EO 12333 atribui determinadas responsabilidades no âmbito da Comunidade de Inteligência dos Estados Unidos, mas não impõe nenhuma obrigação ao setor privado. A F5 criptografa os dados em trânsito e adota medidas de segurança adicionais para protegê-los contra as atividades hipotéticas de interceptação que preocuparam o tribunal no caso Schrems II antes da decisão de adequação da Comissão Europeia de 2023 mencionada acima.
A CLOUD Act não conferiu ao governo dos EUA novos poderes para exigir dados de empresas que fazem negócios nos Estados Unidos. O governo dos EUA não emite “ordens da CLOUD Act”, e a F5 nunca recebeu uma. A CLOUD Act esclareceu que, quando o governo dos EUA segue o devido processo legal vigente (como obter uma ordem de um juiz de um tribunal distrital federal) para determinar que uma empresa forneça dados específicos que estejam em sua posse, custódia ou controle, a localização dos dados não pode servir de fundamento para a empresa contestar a ordem (embora um conflito com as leis vigentes nesse local ainda possa servir). A CLOUD Act está em vigor desde antes da decisão de 2020 no caso Schrems II. Após a decisão no caso Schrems II, os Estados Unidos implementaram diversas melhorias em suas regras e práticas relativas ao acesso governamental a dados. Em seguida, a Comissão Europeia avaliou essas melhorias e concluiu que a legislação dos EUA aplicável às exigências de dados pelo governo dos EUA agora oferece um nível de proteção adequado na acepção do GDPR. Consulte a Decisão de Execução de 10.7.2023, nos termos do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, relativa ao nível de proteção adequado dos dados pessoais no âmbito do Quadro de Privacidade de Dados UE-EUA (https://eur-lex.europa.eu/eli/dec_impl/2023/1795/oj). O Comitê Europeu para a Proteção de Dados (EDPB) analisou essa decisão e observou (em sua Nota informativa sobre transferências de dados para os Estados Unidos nos termos do GDPR após a adoção da decisão de adequação em 10 de julho de 2023) que “todas as salvaguardas implementadas pelo governo dos EUA na área de segurança nacional (incluindo o mecanismo de recurso) se aplicam a todos os dados transferidos para os EUA, independentemente do instrumento de transferência utilizado” (ou seja, independentemente de os dados serem transferidos para os Estados Unidos por meio do Quadro de Privacidade de Dados, das Cláusulas Contratuais Padrão ou de outro instrumento de transferência).
Dada a natureza das relações da F5 com seus clientes e a quantidade limitada de dados (normalmente criptografados) que a F5 trata em nome deles, tais exigências são extremamente raras. A política da F5 para qualquer exigência de fornecimento de dados de clientes é: (i) notificar prontamente o cliente, se permitido por lei, e então cooperar com ele para solucionar a questão; ou (ii) caso a notificação do cliente seja ilegal, tentar direcionar a autoridade solicitante ao cliente. Se essas medidas não resolverem a questão, a F5 avaliará a legalidade da exigência e apresentará todas as contestações cabíveis (por exemplo, por meio de recurso), inclusive quanto à possibilidade de o atendimento à solicitação violar o GDPR ou outras leis pertinentes. Durante esse processo, a F5 solicitará a suspensão dos efeitos da exigência até que a autoridade judicial competente decida sobre o mérito, inclusive durante eventuais processos de recurso. Nessa situação, a F5 não divulgará nenhum dado, a menos e até que seja obrigada a fazê-lo de acordo com as normas processuais aplicáveis. Se esse ponto for alcançado, a F5 divulgará apenas o mínimo de dados necessário para atender ao que restar da exigência original.
Todos os contratos de clientes relativos aos serviços da F5 (o Contrato de Serviços para Usuários Finais (EUSA)) incluem Termos Específicos do Serviço que incorporam e complementam o Adendo de Proteção de Dados (DPA) da F5, que inclui as Cláusulas Contratuais Padrão com disposições adicionais pertinentes para transferências sujeitas às leis do Reino Unido ou da Suíça. Em determinados casos, o cliente e a F5 terão um contrato diferente que incorpora essas mesmas proteções, como o contrato para serviços específicos de suporte da F5. Os clientes também podem consultar https://www.dataprivacyframework.gov/list, que mostra que a F5 possui certificação no âmbito do Marco de Privacidade de Dados UE-EUA, da Extensão do Reino Unido ao Marco de Privacidade de Dados UE-EUA e do Marco de Privacidade de Dados Suíça-EUA.
Para transferências a entidades da F5 em “países terceiros”, incluindo o Reino Unido, a F5 e seus clientes utilizam o Adendo sobre Transferência Internacional de Dados às Cláusulas Contratuais Padrão da Comissão Europeia, que está disponível no site do Comissário de Informação do Reino Unido e é incorporado por referência ao DPA da F5 para as transferências pertinentes regidas pela legislação do Reino Unido. Além disso, para determinados serviços, a F5 é certificada de acordo com a Extensão do Reino Unido ao Quadro de Privacidade de Dados UE-EUA.
