Política de Uso Aceitável (AUP)

Anexo I dos Contratos de Prestação de Serviços de Infraestrutura em Nuvem

1. Objetivo e alcance

1.1. Esta AUP visa preservar a segurança, a integridade e a disponibilidade da infraestrutura da CONTRATADA, proteger os demais usuários e terceiros, e assegurar o cumprimento da legislação aplicável, em especial: Lei nº 12.965/2014 (Marco Civil da Internet), Lei nº 13.709/2018 (LGPD), Código Civil, Código de Defesa do Consumidor, Lei nº 9.610/1998 (Direitos Autorais), Lei nº 9.609/1998 (Software), Lei nº 12.737/2012 (Lei Carolina Dieckmann), Lei nº 14.155/2021 (crimes cibernéticos), Decreto nº 11.491/2023 (Convenção de Budapeste), e demais normas brasileiras e tratados internacionais aplicáveis.

1.2. O CONTRATANTE é responsável por todas as atividades realizadas em sua conta, incluindo as de seus usuários, prepostos, integrações automatizadas e terceiros por ele autorizados, ainda que sem seu conhecimento direto.

2. Usos proibidos

2.1. É expressamente vedado o uso dos serviços para qualquer das atividades abaixo, sem prejuízo de outras vedações decorrentes de lei:

2.1.1. Conteúdo ilícito

• Armazenamento, transmissão, distribuição ou compartilhamento de material de abuso e exploração sexual infantojuvenil (CSAM), em qualquer forma ou suporte;
• Conteúdo que incite ou promova violência, terrorismo, genocídio, racismo, xenofobia, discriminação ou ódio contra grupos protegidos por lei;
• Conteúdo que viole a honra, a imagem, a privacidade ou a intimidade de terceiros, inclusive imagens íntimas não consentidas;
• Conteúdo que constitua ou facilite a prática de crime previsto na legislação brasileira.

2.1.2. Propriedade intelectual e direitos autorais

• Distribuição ou armazenamento de software, mídias (filmes, séries, músicas, livros, jogos, e-books) ou qualquer obra protegida por direitos autorais sem a devida autorização do titular;
• Disponibilização de mecanismos de pirataria, cracks, keygens, geradores de licenças ou ferramentas destinadas à evasão de medidas tecnológicas de proteção (DRM);
• Uso de marcas, nomes comerciais ou identidade visual de terceiros sem autorização.

2.1.3. Segurança e abuso técnico

• Hospedagem, distribuição ou execução de malware, ransomware, spyware, rootkits, trojans, worms ou qualquer código malicioso;
• Operação de servidores de comando e controle (C&C) para botnets;
• Realização ou facilitação de ataques cibernéticos, incluindo DoS/DDoS, port scanning não autorizado, brute force, exploração de vulnerabilidades de terceiros e engenharia social;
• Hospedagem de páginas de phishing, fraudes financeiras, golpes (“scam”), falsificação de identidade ou de instituições;
• Mineração de criptoativos não declarada na Proposta Comercial, quando represente uso anômalo de recursos compartilhados;
• Tentativa de burlar, evadir ou comprometer mecanismos de segurança, autenticação, isolamento de tenants ou controles de quota da CONTRATADA.

2.1.4. Dados pessoais e privacidade

• Tratamento de dados pessoais em desacordo com a LGPD, especialmente sem base legal válida ou fora das finalidades informadas aos titulares;
• Armazenamento ou comercialização não autorizada de bancos de dados pessoais de terceiros (vazamentos, listas de e-mails captadas ilicitamente, scraping ilegal de redes sociais);
• Coleta, armazenamento ou tratamento de dados pessoais de crianças e adolescentes em desconformidade com o art. 14 da LGPD.

2.1.5. Comunicações e spam

• Uso da infraestrutura para envio de spam, mensagens em massa não solicitadas (UCE/UBE), correntes ou esquemas em pirâmide;
• Falsificação de cabeçalhos de e-mail, endereços de origem ou identidade de remetente.

2.1.6. Práticas comerciais e regulatórias proibidas

• Operação de jogos de azar não autorizados pela legislação brasileira;
• Venda de produtos ou substâncias controladas (medicamentos sem prescrição, armas, drogas ilícitas);
• Atividades financeiras sujeitas a regulação que sejam exercidas sem autorização do órgão competente (Banco Central, CVM, SUSEP).

3. Orientações técnicas para uso seguro

3.1. O CONTRATANTE deve observar, no uso dos serviços, as seguintes recomendações mínimas de segurança:

• Utilizar, preferencialmente, protocolos com criptografia em trânsito: SFTP, FTPS, SMTPS, IMAPS, SMB com criptografia habilitada, e S3 sobre HTTPS;
• Evitar o uso de FTP em texto plano (porta 21 sem TLS); caso necessário, restringir a redes confiáveis e ativar o serviço somente após ciência expressa de risco (cláusula 1.1 do contrato);
• Implementar autenticação forte (senhas robustas, chaves SSH/PGP, MFA quando disponível);
• Rotacionar periodicamente chaves de acesso, tokens e credenciais;
• Configurar políticas de bucket S3 com o princípio do menor privilégio, evitando exposição pública não intencional;
• Manter rotina própria de backup externo (off-site), independentemente do backup oferecido pela CONTRATADA;
• Monitorar logs de acesso e configurar alertas de uso anômalo.

4. Monitoramento e cooperação

4.1. A CONTRATADA não realiza monitoramento ativo, inspeção ou indexação do conteúdo dos arquivos do CONTRATANTE, em respeito ao sigilo e à privacidade (Marco Civil, arts. 7º e 8º; LGPD, arts. 6º e 46).

4.2. A CONTRATADA monitora, contudo, métricas operacionais e de segurança da infraestrutura (volume de tráfego, padrões de acesso, indicadores de comprometimento), podendo investigar conta específica quando houver: (i) notificação fundamentada de terceiro lesado; (ii) ordem judicial ou requisição legal; ou (iii) indícios técnicos objetivos de violação desta AUP.

4.3. A CONTRATADA atenderá a notificações extrajudiciais de titulares de direitos (notice and takedown), observando o regime do art. 19 do Marco Civil quanto à exigência de ordem judicial específica para remoção de conteúdo de terceiros, ressalvadas as hipóteses do art. 21 (imagens íntimas) e do CSAM, em que a remoção pode ocorrer mediante notificação fundamentada.

5. Medidas aplicáveis em caso de violação

5.1. Constatada violação a esta AUP, a CONTRATADA poderá, conforme a gravidade e a urgência do caso, e de forma escalonada ou imediata:

• Notificar o CONTRATANTE para que cesse a conduta em prazo determinado;
• Restringir, limitar ou suspender temporariamente o acesso a recursos específicos;
• Suspender integralmente o acesso à conta;
• Remover ou tornar inacessível o conteúdo específico que constitua a violação, nos limites da legislação;
• Rescindir o contrato por justa causa, nos termos da cláusula 9.4 do contrato principal;
• Preservar logs e evidências para fins de eventual procedimento judicial ou administrativo;
• Comunicar a violação às autoridades competentes, quando exigido por lei ou recomendável diante da gravidade do fato (por exemplo, em casos de CSAM, ataques cibernéticos, fraudes financeiras).

5.2. Em casos de violação grave que coloque em risco imediato a infraestrutura, terceiros ou a integridade jurídica da CONTRATADA — em particular, hospedagem de CSAM, operação de C&C de botnet, phishing ativo ou ataques em andamento — a suspensão poderá ser imediata, sem aviso prévio, com notificação posterior ao CONTRATANTE.

6. Indenização regressiva (ressarcimento)

6.1. O CONTRATANTE compromete-se a ressarcir, defender e isentar a CONTRATADA, seus administradores, prepostos e parceiros de quaisquer prejuízos, custas, honorários advocatícios, indenizações, multas administrativas (inclusive da ANPD) ou condenações judiciais decorrentes de: (i) violação desta AUP; (ii) uso ilícito dos serviços pelo CONTRATANTE, seus usuários ou terceiros por ele autorizados; (iii) reclamações de terceiros relacionadas ao conteúdo do CONTRATANTE armazenado ou trafegado nos serviços.

7. Canais de notificação e denúncia

7.1. Notificações sobre violações desta AUP, denúncias de conteúdo ilícito, requisições da LGPD (art. 18) e comunicações em geral relacionadas a abuso de uso devem ser enviadas aos canais formais indicados pela CONTRATADA na Proposta Comercial ou em sua página institucional, devendo conter: identificação do reclamante, descrição objetiva do fato, indicação precisa do conteúdo ou conduta (URL, identificadores, datas e horários) e fundamentação.

7.2. A CONTRATADA responderá, em prazo razoável, sempre observando: o art. 19 do Marco Civil (necessidade de ordem judicial específica para remoção de conteúdo de terceiros, salvo exceções legais); o art. 18 da LGPD (direitos dos titulares); e o art. 9º do Marco Civil (neutralidade de rede).

8. Vigência e atualização

8.1. Esta AUP entra em vigor na data de aceitação do Contrato principal e poderá ser atualizada pela CONTRATADA, mediante notificação ao CONTRATANTE com antecedência mínima de 30 (trinta) dias, conforme cláusula 1.4 do contrato.

8.2. A versão vigente desta AUP estará disponível para consulta pelos canais oficiais da CONTRATADA.