Conformidade com as regulações de privacidade

Nota

Aqui encontrará várias informações legais que pode precisar para operar Weblate em certas jurisdições legais. É fornecido como um meio de orientação, sem qualquer garantia de precisão ou correção. Em última análise, é a sua responsabilidade de garantir que o seu uso do Weblate esteja em conformidade com todas as leis e regulamentos aplicáveis.

Dica

O Weblate fornece funcionalidades que ajudam organizações a operar dentro de estruturas de privacidade tais como GDPR, DPDPA, PIPL, e outros. Responsabilidades de alojamento, bases legais, retenção, avisos, e conformidade continuam sob o controlo da implementação da organização.

Este documento sublinha funcionalidades do Weblate que podem suportar a conformidade com:

  • Regulação de Proteção de Dados Geral da UE (GDPR)

  • Lei de Privacidade do Consumidor da Califórnia (CCPA)

  • Lei Geral de Proteção de Dados Brasileira (LGPD)

  • Lei Federal Suíça sobre a Proteção de Dados (nFADP)

  • Lei Canadiana sobre a Proteção de Dados Pessoais e Documentos Eletrónicos (PIPEDA)

  • Lei Indiana de Proteção de Dados Pessoais Digitais (DPDPA)

  • Lei da China sobre a Proteção de Dados Pessoais (PIPL)

Princípios de privacidade

Minimização de dados

O Weblate processa dados da conta e atividade necessários para fornecer fluxos de trabalho de tradução, autenticação, notificações, controlo de avesso, e auditabilidade. Dependendo das funcionalidades ativadas, os seguintes dados pessoais podem ser armazenados ou processados:

  • Identificadores de conta tais como nome de utilizador, nome completo, endereço de email primário, endereços de email verificados, e associações de autenticação sociais.

  • Campos de perfil opcionais tais como email público, website, links de perfil, localização, empresa, preferências de idioma, e preferências de painel.

  • Atividade de tradução, sugestões, comentários, projetos observados, definições de notificações, e estatísticas de contribuição.

  • Registos operacionais tais como entradas de registo de auditoria, endereços IP, agentes do utilizador, rótulos de data e hora, e eventos relativos à segurança.

Analise externa, relatórios de falhas, registos remotos, e fornecedores de avatar são integrações opcionais controladas pelo operador do site.

Acesso e portabilidade de dados

  • Utilizadores podem descarregar uma exportação JSON dos seus dados de utilizador a partir do separador Conta em Perfil do utilizador; o formato de exportação está documentado em Weblate user data export.

  • Administradores podem exportar dados de utilizador não robôs com dumpuserdata.

  • Traduções de projetos e traduções de ficheiros podem ser exportadas separadamente usando as funcionalidades do Weblate de projeto e exportação de ficheiro.

Direito ao apagamento e retificação

  • Utilizadores podem corrigir a informação da sua conta e perfil a partir da interface do perfil.

  • Utilizadores podem pedir o eliminar da conta a partir do separador Conta. O fluxo de eliminação requer confirmação e depois desativa e anonimiza a conta.

  • A eliminação de conta limpa os campos de perfil privados, tokens API, e associações de autenticações sociais, pertenças de grupo, subscrições de notificações, projetos observados, e memória de tradução de utilizador.

  • Registos de histórico de projeto podem permanecer associados com uma conta eliminada anonimizada quando necessário para preservar o histórico de tradução e para motivos de auditoria.

Retenção dados e apagar-los

  • A retenção do registo de auditoria é configurada através de AUDITLOG_EXPIRY.

  • Para ajudar administradores a diagnosticar contas removidas, a auditoria de remoção de conta retém o endereço anterior até que essa entrada expire.

  • Cópias de segurança, registos de proxy reverso, registos de servidor de email, e retenção de base de dados são controlados pelo operador do site.

  • Serviços de terceiros recebem dados apenas quando configurado ou usado pelo operador, por exemplo fornecedores de autenticação externos, fornecedores de avatar, Matoto, Sentry, OpenTelemetry, registos remotos, serviços de tradução automática, ou integrações de repositório.

Segurança e confidencialidade

  • O Weblate suporta implementações HTTPS e tornam definições de cookie seguras; operadores devem configurar o TLS e cabeçalhos de proxy corretamente.

  • Inícios de sessões falhados, permissões alteradas, alterações de dois fatores, pedidos de eliminação de conta, e outros eventos de segurança são guardados no registo de auditoria.

  • Registos GELF opcionais podem direcionar registos para sistemas tais como o Graylog.

  • Controlo de acesso é aplicado através de utilizadores, funções, definições de acesso de projeto, e permissões de componente.

  • A privacidade de identidade de commit pode ser melhorada com PRIVATE_COMMIT_EMAIL_OPT_IN, PRIVATE_COMMIT_EMAIL_TEMPLATE, PRIVATE_COMMIT_NAME_OPT_IN, e PRIVATE_COMMIT_NAME_TEMPLATE.

  • O buscar do avatar pode ser desativado com ENABLE_AVATARS; quando ativado, avatares são descarregados e armazenados na cache do servidor conforme descrito em Avatares.

Transferências internacionais

  • O Weblate em si não requer uma região de alojamento específica.

  • A localização de alojamento, cópias de segurança, entrega de emails, alojamento de repositório, autenticação externa, analítica, relatórios de erros, e serviços de tradução automática determinam onde a informação é processada.

  • Organizações podem auto-alojar o Weblate na jurisdição necessária, ou utilizar uma implementação de dedicada com controlos de infraestrutura adequados.

Mapeamento regulatório

Framework

Suportar funcionalidades do Weblate

RGPD (UE)

Exportação de dados, correção, eliminação de conta, auditoria de registos, avisos de privacidade, retenção configurável, auto-alojamento

CCPA (Califórnia)

Acesso de dados, eliminar do fluxo de trabalho, controlo de utilizador, não há venda integrada de dados pessoais

LGPD (Brasil)

Transparência, acesso, correção, eliminar o fluxo de trabalho, base jurídica definida pelo operador

nFADP (Suiça)

Transparência, limitação de fins por configuração, controlos de conta, auditabilidade

PIPEDA (Canadá)

Aviso, consentimento de fluxo de trabalho, correção, eliminação

DPDPA (Índia)

Aviso, consentimento do fluxo de trabalho, gestão de direitos de utilizador, localidade de alojamento controlada pelo operador

PIPL (China)

Limitação de fins por configuração, minimização de dados, controlos de localidade de auto-alojamento

Recomendações para conformidade

  • Avisos e consentimento: Fornece informação de privacidade, cookie, subcontratado, e termos através de Módulo legal, e atualiza LEGAL_TOS_DATE quando os utilizadores têm que aceitar os termos alterados ou política de privacidade.

  • Links de política: Links de privacidade externa e documentos legais com PRIVACY_URL e LEGAL_URL quando os documentos são alojados fora do Weblate.

  • Pedidos de dados de sujeitos: Define um processo operacional para exportação de dados de utilizador, eliminação de conta, gestão de cópias de segurança, e revisão de histórico de contribuições.

  • Retenção: Configure AUDITLOG_EXPIRY e períodos de retenção de documento para cópias de segurança da base de dados, agregação de registos, sistemas de email, repositórios, e integrações externas.

  • Serviços externos: Revisão de fornecedores de autenticação configurados, fornecedores de avatar, análises, Sentry, OpenTelemetry, registos GELF, tradução automática, e-mail, e integrações de repositório para obrigações de transferência e processamento.

  • Localidade: Certifique-se que o alojamento da aplicação, registos, repositórios, e processadores externos estão localizados em jurisdições permitidas.