A Cyber Crucible é um controlador de dados ou um processador de dados?

Resposta curta: Na maioria dos contratos, a Cyber Crucible atua como processadora de dados em nome do cliente, que é o controlador. O cliente determina as finalidades e os meios do processamento; a Cyber Crucible processa dados apenas de acordo com as instruções documentadas do controlador, no âmbito de um Acordo de Processamento de Dados (DPA) por escrito.

Por que essa distinção importa

Quase todos os regimes desta família — PDPL, GDPR e seus derivados — atribuem obrigações de acordo com a função. Os controladores decidem por que e como os dados são processados e assumem os deveres mais pesados: informar os titulares dos dados, tratar solicitações de direitos e, em alguns casos, o registro.

Os processadores devem seguir instruções lícitas e proteger os dados. Nos termos da PDPL, um processador que utilizasse os dados além das instruções do controlador seria ele próprio tratado como controlador — motivo pelo qual o escopo é definido contratualmente, e não deixado à interpretação.

Na prática

A Cyber Crucible opera sob um DPA ou acordo de serviço por escrito que especifica o escopo do processamento, e não reutiliza nem retém dados fora dessas instruções.

Como normalmente é uma processadora, as obrigações específicas do controlador permanecem com você: informar os titulares dos dados sobre o processamento, responder a solicitações de direitos e afins.

A exceção

Somente se a Cyber Crucible processasse dados pessoais para suas próprias finalidades é que seria considerada controladora, e assumiria então as obrigações plenas de controlador, incluindo registro e consentimento, quando aplicável. Esse não é o modelo de operação.