Estas diretrizes fornecem instruções e maior transparência sobre como o LastPass lida com solicitações de autoridades públicas e outras exigências legais e/ou regulatórias relacionadas a informações sobre nossos usuários finais e clientes (“Informações do Usuário”), bem como com solicitações de remoção de conteúdo feitas nos termos da Lei Digital Millennium Copyright ("DMCA").
Estas diretrizes se aplicam a todos os serviços do LastPass.
Informações que podemos fornecer
Gerenciador de senhas LastPass
O Gerenciador de senhas LastPass usa um modelo de segurança de "conhecimento zero" desenvolvido para garantir que os dados dos clientes sejam mantidos protegidos e em sigilo, o que impede que o próprio LastPass e qualquer outra pessoa física ou jurídica tenha acesso a tais dados. Este serviço do LastPass oferece um “cofre”, no qual dados sensíveis do usuário ficam armazenados em um formato criptografados, que só pode ser descriptografado no nível do usuário e do dispositivo, quando o usuário informa a senha mestre. Da maneira como é desenvolvido, o LastPass desconhece a senha mestre do usuário e não a armazena nem a acessa. Portanto, ninguém que trabalha no LastPass consegue descriptografar os dados dos cofres em nossos servidores, ficando impossibilitado de fornecer tais informações em resposta a uma solicitação judicial ou extrajudicial.
Sempre que possível, o solicitante deve primeiro tentar obter as informações diretamente do usuário ou cliente alvo da investigação antes de solicitá-las ao LastPass.
Serviço LastPass VPN
O serviço LastPass VPN usa um provedor terceirizado para operar a infraestrutura de VPN empregada na prestação do serviço de VPN. Quando os usuários se conectam por meio do LastPass VPN, o tráfego deles parece originar-se de um endereço IP de saída compartilhado, operado pelo nosso provedor de serviços de VPN (e não pelo LastPass). Esse endereço IP de saída é compartilhado entre vários usuários simultaneamente. Isso significa que o LastPass não tem a capacidade de identificar um usuário individual com base apenas no endereço IP de saída da VPN.
Além disso, o LastPass mantém uma política rigorosa de não registro de dados em relação à atividade de sessões de VPN. O LastPass não registra, e não tem como fornecer, registros de sites visitados, conteúdo acessado, consultas de DNS ou qualquer outra atividade realizada por meio da conexão VPN.
Solicitações de informações mantidas pelo Provedor de serviços de VPN relacionadas ao serviço de VPN devem ser encaminhadas diretamente ao Provedor de serviços de VPN.
Informações que os solicitantes devem fornecer
Para garantir que eventuais solicitações de Informações do Usuário sejam razoavelmente cobertas e se atenham criteriosamente às informações solicitadas para atender à investigação, a solicitação deve conter um documento válido, como um mandado, citação, intimação, liminar, documento de comunicação processual equivalente ou uma comprovação oficial de uma situação de emergência, enviado em seu formato original como um PDF não editado e emitido pela autoridade competente.
A solicitação deve conter o máximo de detalhes possível para nos ajudar a atendê-la em tempo hábil e de maneira efetiva. Atenção: só é possível identificar a maioria das Informações do Usuário e dados de contas pelo endereço de e-mail do usuário. Portanto, o endereço de e-mail associado à conta é a informação de identificação mais útil para nós.
Cada solicitação também deve conter dados de contato do solicitante autorizado, tais como:
- Nome;
- Número de identificação/matrícula do órgão público (se houver);
- Endereço de e-mail com domínio do órgão solicitante;
- Telefone e ramal (se houver);
- Endereço postal;
- Prazo para resposta;
Processamento de solicitações
Ao receber uma solicitação de Informações do Usuário, o LastPass toma as seguintes providências antes de respondê-la:
Autoridade. O LastPass analisará e confirmará se o solicitante detém a autoridade adequada nos termos das leis aplicáveis para solicitar as Informações do Usuário. A ausência de um documento válido, como um mandado, citação, intimação, liminar, documento de comunicação processual equivalente ou uma comprovação oficial de uma situação de emergência, impede que o LastPass forneça Informações do Usuário a um solicitante.
Escopo. Sempre que possível, o LastPass tentará garantir que eventuais solicitações de Informações do Usuário sejam razoavelmente cobertas e se limitem a uma conta específica. O LastPass poderá solicitar mais contexto se a natureza da investigação não for clara, podendo ainda se opor à solicitação, se adequado. Caso forneça eventuais Informações do Usuário, o LastPass tentará compartilhar o mínimo possível de informações, atendo-se apenas a cumprir a demanda.
Notificação. Salvo em circunstâncias em que o LastPass seja instruído pela autoridade pública competente a não notificar o usuário, tenha proibição de fazê-lo ou se houver indícios claros de conduta ilícita ou mal-intencionada ou de risco de danos, o LastPass notificará o cliente de que há uma solicitação de suas Informações do Usuário antes de respondê-la, a fim de permitir que o cliente busque os recursos jurídicos disponíveis.
Notificações DMCA
O LastPass aceita e analisa notificações de remoção de conteúdo por violação de direitos autorais enviadas em conformidade com a Notificação DMCA. As notificações DMCA devem ser enviadas ao agente DMCA designado pelo LastPass, conforme descrito na Notificação DMCA. Devido às limitações técnicas descritas acima, geralmente não é possível identificar um usuário específico de VPN apenas com base no endereço IP.
Solicitações internacionais
Todas as solicitações devem ser emitidas segundo as leis aplicáveis e feitas por canais oficiais (por exemplo, mandado assinado, endereço de e-mail oficial etc.). Além disso, as solicitações devem apresentar um fundamento jurídico adequado, e uma solicitação feita segundo um Acordo de Assistência Jurídica Mútua, uma solicitação de um país que cumpra as obrigações previstas na Lei de Esclarecimento do Uso Legal de Dados no Exterior (Lei CLOUD) dos Estados Unidos, uma carta rogatória ou outra forma de nacionalização de um processo judicial pode ser necessária para fundamentar juridicamente uma solicitação internacional.
Analisaremos todas as solicitações internacionais, país a país, caso a caso, a fim de ponderar e equilibrar as nossas obrigações jurídicas locais e os compromissos que firmamos para promover a segurança e a privacidade dos usuários. Poderemos optar por responder de maneiras diferentes a solicitações de países diferentes quando tais compromissos conflitarem com as leis locais.
Para onde enviar uma solicitação
O LastPass aceita solicitações de autoridades públicas de Informações do Usuário pelo e-mail subpoenas@lastpass.com.
As notificações de violação de direitos autorais nos termos da DMCA devem ser enviadas ao LastPass pelo e-mail dmca@lastpass.com ou por correio para LastPass US LP, no endereço disponível aqui. Para mais informações sobre o envio de notificações DMCA, consulte a Notificação DMCA do LastPass em www.lastpass.com/legal-center/dmca.
Embora aceitemos solicitações por esse meio, nem o LastPass nem nossos clientes renunciam a eventuais direitos legais fundamentados nessa concessão. Além disso, solicitações feitas por e-mail devem vir de um endereço de e-mail oficial, com domínio do órgão público competente, quando for o caso.
