GDPR

O Regulamento Geral de Proteção de Dados rege dados pessoais de pessoas no Espaço Econômico Europeu. Ele não tem certificado. Tem um conjunto de obrigações e um contrato que as distribui — por isso a pergunta que vale fazer a um fornecedor não é se ele está em conformidade, e sim qual metade ele carrega.

Você é o controlador dos seus usuários finais. Nós somos o operador, agindo por instrução documentada sua. A divisão abaixo decorre disso, e o Adendo de Tratamento de Dados é onde ela obriga.

O que é nosso

Um contrato de operador assinado: O Adendo de Tratamento de Dados integra os Termos. Ele carrega as Cláusulas Contratuais Padrão, módulo dois, para transferência para fora do EEE, mais o Adendo do Reino Unido quando aplicável.
Cada suboperador nomeado: Cada um aparece com sua atividade e onde fica. Avisamos com pelo menos trinta dias antes de acrescentar ou trocar um, e você pode se opor.
Aviso de incidente em setenta e duas horas: Avisamos você, não os seus usuários — quem decide o que a autoridade e as pessoas afetadas vão saber é você, porque o controlador é você.
Os meios para você responder aos seus usuários: Acesso, correção, exportação e exclusão estão no Console e na API, então você atende um pedido sem abrir chamado conosco.
Exclusão quando você sai: Os dados ficam exportáveis por trinta dias após a rescisão e depois saem dos sistemas de produção. Os backups seguem o ciclo próprio de expiração, sob os mesmos termos até lá.

O que fica com você

A base legal: Consentimento, contrato, legítimo interesse — você escolhe para o seu tratamento e registra o porquê. Nós não escolhemos por você, e não teríamos como.
O seu próprio aviso de privacidade: Seus usuários leem o seu, não o nosso. Ele precisa dizer o que você coleta e por quê, e nos nomear como operador se você listar os seus.
Responder aos seus usuários diretamente: Pedido que chega até nós sobre os seus usuários finais é devolvido a você. Avisamos sem demora injustificada e não respondemos ao mérito.
O que você configura: Janelas de retenção, quais provedores ficam habilitados, o que você põe em claims customizados e metadata. Isso é instrução, e a instrução é sua.

Onde isso obriga

Não temos certificado de GDPR porque ele não existe. Fornecedor que te oferecer um está vendendo outra coisa.