Residência de dados: seus dados de consentimento ficam armazenados na Índia

O que o DPDPA exige para o armazenamento de dados na Índia

A Digital Personal Data Protection Act da Índia rege como os dados pessoais digitais de pessoas na Índia são coletados, armazenados e usados. Ela é construída em torno de aviso e consentimento, e não de uma exigência ampla de localização: a lei permite a transferência para fora da Índia, exceto para países que o governo restrinja, e as Rules podem prescrever medidas adicionais para determinados dados. Na prática, muitas organizações indianas ainda preferem uma plataforma de gestão de consentimento cujo armazenamento de dados permaneça na Índia, porque isso mantém a trilha de evidências dentro de uma única jurisdição e simplifica o que precisa ser explicado a um regulador ou a um comprador corporativo. A ConsentX foi construída para essa preferência: dados de consentimento na Índia por padrão, criptografia em trânsito e em repouso, um registro de consentimento à prova de adulteração e um DPA assinado com adendo de DPDPA. Suas obrigações específicas sob o DPDPA dependem da sua organização e das suas atividades de tratamento, então confirme-as com assessoria jurídica.

Como funciona a configuração da ConsentX na AWS Mumbai (ap-south-1)

A aplicação da ConsentX e seu repositório de dados de consentimento rodam na Amazon Web Services, na região Ásia-Pacífico Mumbai, ap-south-1 — uma região de data centers na Índia. O navegador do visitante alcança o banner por TLS através da nossa borda Cloudflare, que coloca um firewall de aplicação web e mitigação de DDoS à frente da aplicação hospedada na Índia. A decisão de consentimento é então gravada no repositório de dados da mesma região, criptografada em repouso com criptografia na camada de armazenamento da AWS. O processamento principal dos dados de consentimento permanece dentro da região da Índia por padrão; caso ocorra transferência posterior a um suboperador, ela é regida pelas Cláusulas Contratuais Padrão com o Adendo do Reino Unido, e nossa lista de suboperadores é publicada para que você veja quem está envolvido. Esse é o caminho completo: navegador, borda, região da Índia, registro criptografado.

Região de backup e recuperação de desastres

Fazemos backups regulares do repositório de dados de consentimento, e esses backups são criptografados em repouso da mesma forma que os dados principais. Nossa abordagem de continuidade de negócios foi desenhada para permitir restaurar serviço e dados após uma interrupção, e mantemos os procedimentos de recuperação sob revisão conforme a plataforma evolui. Para sermos francos sobre os limites do que publicamos: a ConsentX atualmente não anuncia uma região separada e nomeada de recuperação de desastres, nem metas públicas de RPO e RTO nesta página, e preferimos dizer isso a publicar um número com o qual não nos comprometemos contratualmente. O que afirmamos é a parte que importa para a residência — o processamento principal permanece dentro da região da Índia, e os backups são criptografados. Se sua área de compras ou sua revisão de segurança precisar do detalhe subjacente, pergunte que responderemos diretamente.

Política de retenção e exclusão de dados

Registros de consentimento existem para servir como evidência, por isso são retidos pelo tempo que você precisar para demonstrar uma base de consentimento válida, nos termos do seu contrato conosco. Na rescisão ou expiração, nosso Acordo de tratamento de dados nos obriga a excluir ou devolver todos os dados pessoais tratados em seu nome — a sua escolha — e a excluir as cópias existentes, a menos que a legislação de proteção de dados aplicável exija que as mantenhamos. Essa exclusão ou devolução ocorre em prazo razoável após o fim dos serviços, sujeita ao período de encerramento previsto no DPA. Dados pessoais que ainda estejam em backups de rotina são excluídos conforme nosso cronograma documentado de retenção de backups e, enquanto permanecem ali, não são usados para nada além de continuidade. Mediante solicitação por escrito, certificaremos que isso foi feito.