Policita de Privacidade

Empresas da Iron Mountain como controladores de dados

A Iron Mountain Information Management, LLC nos EUA e suas subsidiárias (“Iron Mountain” ou “nós”) valorizam sua privacidade. Este Aviso de Privacidade explica como a Iron Mountain coleta, usa e compartilha informações que identificam seus clientes, clientes em potencial, fornecedores, parceiros de negócios e visitantes do site (“dados pessoais”) quando atuamos como controladores de dados. Um controlador de dados é uma entidade que decide por que e como os dados pessoais são usados (processados).

Padrões globais e regras locais da Iron Mountain

Este Aviso de Privacidade estabelece nossos padrões globais de privacidade.

Além dos padrões globais da Iron Mountain, cumprimos todas as leis locais de privacidade aplicáveis. Dessa forma, dependendo da região em que atuamos, respeitamos, entre outras, o Regulamento Geral sobre a Proteção de Dados 2016/679 (GDPR da UE), as leis de proteção de dados vigentes nos países do EEE onde operamos, o Regulamento Geral sobre a Proteção de Dados do Reino Unido (UK GDPR) e a Lei de Proteção de Dados do Reino Unido de 2018 (UK Data Protection Act 2018); a Lei de Privacidade do Consumidor da Califórnia de 2018 (CCPA); a Lei Geral de Proteção de Dados Pessoais do Brasil de 2020 (LGPD); a Lei de Proteção de Informações Pessoais da China de 2021 (PIPL); a Lei de Proteção de Dados Pessoais de Singapura de 2012 (PDPA) e a Lei de Proteção de Dados Pessoais Digitais da Índia de 2023 (DPDPA). 

Adendos de países e Avisos de Privacidade locais

Algumas subsidiárias da Iron Mountain podem ter a obrigação de aderir a essas leis locais de proteção de dados, que exigem a divulgação das declarações de privacidade específicas do próprio país (normalmente fornecidas a você pela nossa subsidiária local da Iron Mountain no momento da coleta de dados pessoais). É possível acessar os adendos específicos de cada país aqui:

• CCPA/California Consumer Privacy Act
• China

Para ler a versão traduzida deste Aviso de Privacidade, acesse os sites específicos de cada país. Por exemplo, a versão em alemão deste documento está disponível em nossos sites em alemão.

Fundamentos legais para o processamento

Conduzimos nossos negócios com respeito à proteção da privacidade e dos dados. Garantimos que o processamento tenha uma base legítima e esteja em conformidade com a lei de privacidade aplicável. Na maioria dos casos, coletamos e usamos dados pessoais com base nos seguintes fundamentos legais:

• Execução do contrato: quando o processamento é necessário para celebrar e executar contratos com nossos clientes, fornecedores, parceiros de negócios ou outras partes interessadas;
• Consentimento: quando obtivermos consentimento para processar dados pessoais (por exemplo, enviar comunicados de marketing sobre nossos produtos ou serviços ou monitorar atividades em nossos sites por meio de cookies para melhorar a experiência do cliente);
• Interesse legítimo: quando desejarmos cumprir nossos propósitos comerciais legítimos (por exemplo, para mostrar conteúdos no site que são importantes para sua localização geográfica ou criar outro tipo de personalização). Recorremos ao nosso interesse legítimo apenas se isso for adequado e garantir o equilíbrio entre nossos objetivos empresariais e seus direitos de privacidade;
• Conformidade com as leis aplicáveis: quando o processamento é necessário para cumprir nossas obrigações relevantes de ordem legal ou regulatória (por exemplo, quando nós precisamos compartilhar dados pessoais com o público e as autoridades fiscais).

Coleta e uso de dados pessoais

Dependendo do seu relacionamento com a Iron Mountain e conforme as leis e os regulamentos aplicáveis, podemos coletar e usar seus dados pessoais da seguinte maneira:

• Informações de contato profissionais (clientes, clientes em potencial e fornecedores): as informações de contato profissionais (por exemplo, contato da empresa, endereço comercial, número de telefone); dados pessoais dos representantes de clientes e fornecedores (por exemplo, nome, informações de contato); dados estruturados (por exemplo, dados proprietários); informações técnicas (por exemplo, portal do cliente, IDs e senhas do usuário, registros de acesso), processados para os seguintes objetivos principais: negociação e execução de contrato, conformidade regulatória, desenvolvimento e relacionamento empresarial, gestão de solicitações, administração, contabilidade, bem como melhoria e fornecimento de nossos serviços aos clientes.
• Auditorias, investigações, dados pessoais para diligência prévia (clientes, fornecedores): nome, informações de contato (por exemplo, endereço, número de telefone, endereço de e-mail), cargo/função, número de identificação fiscal, informações de conta bancária, bem como outras informações associadas aos relacionamento com o fornecedor ou cliente, processados para os seguintes objetivos principais: auditoria, investigação, segurança operacional, conformidade regulatória, análise de diligência prévia, gestão de solicitações, finalidade contenciosa.
• Coleta on-line de dados pessoais (visitantes do site): informações coletadas por meio dos sites da Iron Mountain, como informações de contato, credenciais de acesso, comentários on-line e feedbacks de fóruns e pesquisas on-line etc., processadas para os seguinte objetivos principais: permitir o uso eficiente de nossos sites, otimizar a funcionalidade desses sites, interagir com clientes/clientes em potencial e fornecedores em fóruns on-line, gerenciar e avaliar a satisfação do cliente.
• Dados Pessoais de Crianças e Pessoas Vulneráveis: Zelamos pela segurança das crianças no ambiente digital e nunca coletamos, conscientemente, dados pessoais de menores (crianças com menos de 16 anos ou qualquer outra idade estabelecida pela legislação aplicável) nem de indivíduos incapazes de fornecer seu consentimento de forma autônoma devido a alguma deficiência.
• Marketing direto (clientes, clientes em potencial): Podemos usar suas informações de contato profissionais (por exemplo, e-mail) para fornecer a você informações sobre nossos produtos e serviços que acreditamos ser do seu interesse. Para essa finalidade, nós também podemos criar um perfil pessoal que contenha informações do âmbito profissional sobre a empresa para a qual você trabalha ou as interações entre nós, visando a possibilidade de oferecer a você e à empresa para a qual trabalha informações relevantes e ofertas adequadas de nossos serviços e produtos, bem como para melhorar nossa comunicação pessoal com você.A Iron Mountain apenas enviará esses tipos de comunicados (por exemplo, por e-mail e/ou contato por telefone) se você fornecer seu consentimento prévio para recebê-los (“consentimento para autorização”) ou conforme permitido até que você cancele o recebimento desses comunicados. Retirada de consentimento ou cancelamento dos comunicados de marketing: Se você recebe comunicados de marketing, mas não deseja mais recebê-los, pode retirar seu consentimento ou cancelar o recebimento quando quiser. Basta clicar aqui.
• Dados de Atendimento ao Cliente (clientes e potenciais clientes): Além dos seus dados de contato comercial, também podemos processar transcrições e/ou gravações de voz das suas conversas com a Iron Mountain. Isso é feito para atender às suas solicitações e oferecer serviços cada vez melhores, desde que você tenha nos dado seu consentimento prévio ou conforme permitido pelas leis aplicáveis. Podemos utilizar ferramentas de inteligência artificial (IA) (como transcrição automatizada, análise de sentimento ou assistentes virtuais) para auxiliar no processamento dessas comunicações, avaliar a satisfação dos clientes e treinar nossa equipe.

Coleta Online de Dados Pessoais (visitantes do site): As informações coletadas por meio dos sites da Iron Mountain, como dados de contato, credenciais de acesso, comentários online, opiniões fornecidas em fóruns e pesquisas, comportamentos e interações do usuário, endereço IP, entre outras, são processadas com as seguintes finalidades principais: viabilizar o uso eficiente de nossos sites, otimizar sua funcionalidade, interagir de forma eficaz com clientes, potenciais clientes e fornecedores, realizar e avaliar a satisfação dos clientes e mensurar o desempenho de campanhas de marketing.

Para facilitar essa coleta e processamento, podemos utilizar tecnologias de rastreamento, como cookies, pixels de rastreamento ou ferramentas de conversão avançada.

Tipos dessas tecnologias:

• Estritamente Necessários: Para fazer nosso site funcionar corretamente, proteger suas sessões e lembrar suas preferências básicas.
• Desempenho e Análise: Para entender como os visitantes interagem com o nosso site, identificar links quebrados e mensurar nosso tráfego.
• Funcionais e Personalização: Para lembrar das escolhas que você faz (como sua região geográfica ou idioma de preferência) e oferecer uma experiência personalizada.
• Direcionamento e Publicidade: Para exibir anúncios relevantes e medir a eficácia das nossas campanhas de marketing.

Gerenciamento de Suas Escolhas e Sinais de Privacidade: Você tem controle total sobre como usamos cookies não essenciais em nosso site ao interagir com ele. Você pode gerenciar suas preferências de algumas formas:

• Em Nosso Site: Personalize, aceite ou recuse tipos específicos de cookies a qualquer momento clicando no link "Gerenciar suas preferências de privacidade", localizado no rodapé do nosso site. Suas preferências de cookies são aplicadas automaticamente em todos os subdomínios conectados, garantindo que suas escolhas de privacidade sejam respeitadas de forma contínua durante toda a sua navegação.
• Por Meio das Configurações e Sinais do Seu Navegador: Você pode configurar seu navegador para bloquear ou excluir cookies diretamente. Além disso, quando aplicável, respeitamos os sinais de privacidade baseados no navegador; se o seu navegador transmitir um sinal como o "Global Privacy Control" (GPC) ou "Do Not Track", nosso site irá detectá-lo e respeitá-lo automaticamente, desativando os cookies não essenciais (como cookies de direcionamento, marketing e desempenho) sem que você precise usar nosso banner de cookies.

Nós coletamos dados pessoais das seguintes fontes:

• clientes e clientes em potencial (pessoas jurídicas e físicas)
• representantes e procuradores de clientes (por exemplo, indivíduos que representam a empresa com a finalidade de gestão do contrato)
• visitantes dos sites da Iron Mountain
• terceiros (fornecedores da Iron Mountain)
• empresas e afiliados da Iron Mountain
• autoridades de aplicação da lei, incluindo autoridades fiscais, tribunais, autoridades administrativas etc.
• fontes disponíveis publicamente (redes sociais profissionais, registros oficiais etc.) dentro do limite permitido pela lei e pelos regulamentos aplicáveis.

Coleta de dados pessoais como processador de dados

Processamos dados pessoais de nossos clientes como um processador de dados, sem analisar o conteúdo nem a origem desses dados pessoais. Podemos coletar, armazenar e processar esses dados pessoais somente em nome de nossos clientes e sob a orientação deles. Clientes que usam nossos serviços dessa maneira são controladores de dados e responsáveis por obter consentimentos e permissões, bem como por fornecer os avisos de privacidade necessários para a coleta e o uso dessas informações.

Podemos compartilhar seus dados pessoais internamente (no grupo empresarial Iron Mountain) e externamente (para terceiros, como fornecedores, consultores e parceiros de negócios da Iron Mountain). Conforme a lei e as regulamentações aplicáveis, podemos compartilhar e/ou divulgar seus dados pessoais da maneira descrita nesta seção.

Compartilhamento interno: a sede da Iron Mountain é localizada em Boston, Massachusetts (EUA), mas operamos no mundo todo. Para atingir os objetivos empresariais (respeitando a privacidade), podemos compartilhar seus dados pessoais com outras subsidiárias da Iron Mountain, de acordo com este aviso e conforme descrito nele.

Compartilhamento externo: também podemos compartilhar seus dados pessoais com terceiros, incluindo:

• Fornecedores da Iron Mountain: para fornecer serviços à Iron Mountain, pode ser necessário processar seus dados pessoais (por exemplo, fornecer ferramentas de gestão do relacionamento com o cliente ou suporte de TI em geral, distribuir materiais de marketing etc.). Neste caso, essas entidades podem receber e processar seus dados pessoais somente conforme as instruções da Iron Mountain e com a finalidade de prestação de serviços para nós.
• Outros tipos de terceiros para venda, fusão, transferência de um negócio ou para fins de divisão: também inclui fins de análise de diligência prévia, podendo também exigir a divulgação de dados pessoais para consultores ou auditores financeiros da Iron Mountain.
• Autoridades públicas: nós também podemos ter a obrigação legal de divulgar seus dados pessoais sem sua permissão. As finalidades dessas divulgações incluem, entre outras: (a) atender a solicitações legais de autoridades públicas, reguladores e autoridades de aplicação da lei; e (b) proteger os direitos e as propriedades da Iron Mountain.

Padrões de compartilhamento de dados da Iron Mountain

Nós não compartilharemos seus dados pessoais sem o seu consentimento, exceto para: (a) cumprir um propósito comercial legítimo da Iron Mountain (por exemplo, usar um serviço entregue por um fornecedor); (b) atender a solicitações devidamente autorizadas de autoridades públicas; (c) cumprir as leis e os regulamentos aplicáveis; (d) aplicar/proteger os direitos e as propriedades da Iron Mountain; ou (e) proteger os direitos de nossos funcionários e outros indivíduos que usam propriedades da Iron Mountain, quando for permitido e de acordo com a lei aplicável em cada caso. Nós não vendemos seus dados pessoais nem planejamos fazer isso.

Seus dados pessoais podem ser transferidos ou acessados por outras empresas, subsidiárias e terceiros da Iron Mountain em qualquer lugar do mundo. Os destinatários podem estar localizados em países que não oferecem um nível adequado de proteção a seus dados pessoais, segundo a perspectiva do país de origem.

Nós garantimos que os dados pessoais sujeitos à transferência sejam protegidos adequadamente, conforme exigido pelas leis aplicáveis de proteção de dados do país de origem. Para a transferência de seus dados pessoais, normalmente recorremos a uma ou mais destas opções:

• Cláusulas-padrão contratuais (Standard Contractual Clauses, “SCCs”) para transferências internacionais de dados pessoais, que podem ser aplicáveis e relevantes (por exemplo, transferência de dados pessoais da UE/Reino Unido/Suíça para países como os EUA e a Índia). Se você quiser receber mais informações sobre as proteções adequadas e/ou receber uma cópia das SCCs para analisar, entre em contato conosco em global.privacy@ironmountain.com.
• Quando exigido pela lei aplicável, pedimos seu consentimento para transferir seus dados pessoais.
• Para viabilizar a transferência interna de dados pessoais, a Iron Mountain fez um acordo interempresarial sobre a transferência e o processamento de dados pessoais dentro do próprio grupo empresarial.
• A Iron Mountain adere à Estrutura de Privacidade de Dados UE-EUA (EU-U.S. DPF), incluindo sua Extensão para o Reino Unido, e à Estrutura de Privacidade de Dados Suíça-EUA (Swiss-U.S. DPF). Detalhes adicionais sobre essas estruturas podem ser acessados aqui.

Armazenaremos seus dados pessoais pelo tempo necessário e justo para as finalidades pelas quais foram coletados, como explicado neste aviso. Em algumas circunstâncias, podemos armazenar seus dados pessoais por períodos maiores, por exemplo, quando somos obrigados a fazer isso por exigências legais, regulatórias, fiscais ou contábeis. Em circunstâncias específicas, podemos armazenar seus dados pessoais por períodos maiores para que tenhamos um registro preciso de suas relações conosco, caso haja reclamações ou problemas, ou se tivermos motivos plausíveis para acreditar em um possível litígio associado a seus dados pessoais ou relações conosco.

Se tivermos obtido seus dados pessoais para fornecer informações de marketing sobre nossos produtos e serviços, seus dados pessoais serão armazenados por nós, a menos que você queira deixar de receber essas informações ou, se exigido por lei, eles serão removidos antecipadamente se você não demonstrar interesse em nossos produtos e serviços após receber nossos comunicados (ou seja, se você estiver inativo), visando evitar contato futuro com você para fins de marketing. Temos um aviso de retenção de dados que aplicamos aos registros sob nossos cuidados. Se os seus dados pessoais não forem mais necessários, nós os excluiremos, apagando arquivos eletrônicos e destruindo registros físicos ou tornando os dados anônimos, de modo que não possamos mais identificar você. A Iron Mountain tem políticas internas específicas para nos manter em conformidade com as regras de retenção.

Nós sempre protegemos seus dados pessoais conforme os padrões de segurança mais exigentes. Para garantir a proteção de seus dados pessoais contra perda ou uso, acesso ou divulgação não autorizada, sempre tomamos as medidas adequadas do ponto de vista técnico, organizacional e administrativo. Essas medidas incluem: impor requisitos de confidencialidade para os membros de nossa equipe e prestadores de serviços, bem como destruir ou tornar permanentemente anônimos os dados pessoais que não são mais necessários para as finalidades pelas quais foram coletados. Nós sempre verificamos os padrões atuais do mercado (por exemplo, as normas da Organização Internacional de Normalização [International Organization for Standardization, ISO]) e nos mantemos atualizados sobre as medidas de segurança mais recentes apropriadas para o risco relacionado à proteção de seus dados pessoais.

Respeitamos seus direitos de consumidor/titular dos dados e, conforme previsto pelas leis de privacidade aplicáveis, você pode exercer seus direitos de:

1. acessar e obter uma cópia dos seus Dados Pessoais – o seu direito de acesso também pode incluir (i) a solicitação de um resumo dos Dados Pessoais em processamento e das atividades de tratamento realizadas com esses dados; (ii) o direito de solicitar as categorias de terceiros receptores dos dados ou, quando exigido pelas leis aplicáveis, a identidade dos terceiros com os quais seus Dados Pessoais foram compartilhados; e (iii) uma descrição dos Dados Pessoais compartilhados com esses terceiros. Vale ressaltar que poderemos precisar confirmar sua identidade previamente para evitar a divulgação a pessoas não autorizadas, bem como para respeitar o direito à privacidade de outros indivíduos ao disponibilizar o acesso ou a cópia dos seus Dados Pessoais;
2. retificar ou apagar seus dados pessoais: se os dados forem imprecisos ou incompletos;
3. restringir o processamento de seus dados pessoais: por exemplo, se você questionar a precisão do processamento e nós restringirmos o processamento somente até que seu pedido seja verificado;
4. excluir ou tornar anônimos os seus dados pessoais (segundo a GDPR, “direito a ser esquecido”), a menos que haja exceções, como a permissão de processamento garantida por lei;
5. garantir a chamada “portabilidade de dados”: a seu pedido, a Iron Mountain pode “transferir” seus dados pessoais a outra organização/empresa se o processamento depender de seu consentimento ou da execução de um contrato;
6. discordar do processamento de seus dados pessoais: por exemplo, se processarmos seus dados pessoais com base em nosso interesse legítimo ou para fins de marketing direto e o processamento for realizado por meios automatizados;
7. obter uma cópia das proteções de seus dados pessoais aplicadas a transferências fora de sua jurisdição: por exemplo, uma cópia das SCCs;
8. apresentar uma reclamação perante a autoridade de proteção de dados local: em alguns países, espera-se que você envie sua reclamação diretamente à Iron Mountain para resolver a questão antes de encaminhá-la à autoridade competente. 
9. retirar seu consentimento para o processamento de seus dados pessoais (contudo, isso não afeta a legalidade do processamento com base no consentimento antes da retirada).
10. indicar outro indivíduo para atuar em seu nome e exercer seus direitos de privacidade (como acesso, retificação ou exclusão) em caso de falecimento ou incapacidade médica ou legal.

Conforme a legislação e outras considerações admissíveis, tomaremos as medidas necessárias para responder a seu pedido o quanto antes (de todo modo, dentro do período exigido por lei) ou informá-lo se precisarmos de mais informações para atender a seu pedido. Em alguns casos, sua capacidade de acessar ou controlar seus dados pessoais será limitada, conforme necessário ou permitido pela lei aplicável. Podemos pedir que você envie informações adicionais para verificar sua identidade e para fins de segurança antes de divulgar os dados pessoais solicitados por você. Também nos reservamos o direito de cobrar uma taxa quando permitido por lei, por exemplo, se o seu pedido for claramente infundado ou excessivo.

Se você tiver alguma dúvida, preocupação ou reclamação sobre privacidade para a Iron Mountain, entre em contato com nossa equipe de privacidade: 

• Por e-mail: global.privacy@ironmountain.com
• Online: Fale conosco aqui (Você pode encontrar os dados de contato específicos da sua subsidiária local aqui ou das entidades Crozier aqui).
• Por correio (consultas para o EEE): Iron Mountain Privacy & Compliance, al. Jerozolimskie 172, 02-486 Varsóvia, Polônia (por favor, inclua a indicação "Privacy & Compliance" na correspondência).

Nosso objetivo é resolver suas preocupações de privacidade de forma rápida e confidencial. Você mantém o direito absoluto de apresentar uma reclamação diretamente à autoridade de proteção de dados local ou recorrer à via judicial a qualquer momento — sem a obrigação de recorrer a nós primeiro. No entanto, se optar por enviar uma reclamação diretamente à Iron Mountain por meio de nossos canais internos, assumimos os seguintes compromissos:

• Confirmação de Recebimento: Tomaremos todas as providências razoavelmente requeridas para confirmar formalmente o recebimento da sua reclamação no prazo de 10 dias úteis.
• Resposta Definitiva: Investigaremos minuciosamente o caso e forneceremos uma resposta completa no prazo de 1 mês a contar do recebimento. Se a quantidade ou a complexidade da demanda exigir extensão do prazo (por até 2 meses extras), enviaremos uma notificação no primeiro mês informando a estimativa adequada.
• Fluxo de Escalação Interno: Caso discorde de nossas conclusões iniciais, você tem o direito de solicitar que o assunto seja encaminhado ao nosso Diretor de Privacidade Global (Head of Global Privacy). Esse responsável reavaliará o processo de forma imparcial e proferirá uma decisão final sem demoras indevidas, no período máximo de 1 mês (estendível por até 2 meses adicionais para demandas complexas).

Dependendo da sua localização geográfica ou do arcabouço legal que rege os seus dados, aplicam-se procedimentos de tratamento e prazos legais específicos.

Reino Unido e Índia 

Em determinadas jurisdições, as leis locais exigem que você envie suas reclamações sobre proteção de dados diretamente à Iron Mountain para investigação em nossos canais internos de atendimento antes de encaminhar a questão à sua autoridade de proteção de dados. Nessas regiões, respeitamos prazos locais rigorosos:

• Reino Unido: Confirmaremos formalmente o recebimento da sua reclamação em até 30 dias e forneceremos uma solução sem demora injustificada. Se você não ficar satisfeito com nossa resolução interna, manterá o direito legal de encaminhar sua reclamação ao Information Commissioner’s Office (ICO).
• Índia: Comprometemo-nos a investigar e resolver totalmente suas solicitações de privacidade em um prazo máximo de 90 dias. Se você não ficar satisfeito com nossa resolução interna ou se o prazo expirar, manterá o direito legal de encaminhar sua reclamação ao Data Protection Board of India (DPBI).

Publicaremos uma versão revisada deste Aviso de Privacidade sempre que ele for atualizado e incluiremos a data da revisão no documento. O link do aviso/política de privacidade de cada site da Iron Mountain encaminhará você para a versão mais recente deste Aviso de Privacidade.