Português
English
Por que usar um aplicativo pode trazer riscos legais
Sua empresa utiliza o DingTalk para reuniões, aprovações e registro de ponto, o que é extremamente conveniente — mas você já pensou que, por trás dessas operações, os dados de frequência dos funcionários, os contatos com clientes e os registros de documentos podem estar sendo transferidos para servidores na China continental?
De acordo com o Artigo 3 da Lei de Proteção de Informações Pessoais da China (PIPL), se você processa dados de cidadãos chineses, mesmo que sua empresa esteja registrada em Macau, estará sujeito à jurisdição. Em outras palavras, basta que o sistema contenha informações de funcionários ou clientes da China continental e que esses dados sejam armazenados em nuvens locais para que seja necessário realizar uma avaliação de segurança ou assinar um contrato padrão (SCC); caso contrário, isso constituirá uma violação.
A conveniência tecnológica não significa imunidade legal. Já vimos uma empresa de construção local aumentar a eficiência das aprovações entre departamentos em 40% graças ao DingTalk, mas, ao mesmo tempo, estava enviando dados sensíveis sem criptografia, o que acabou classificando-a como uma entidade com potencial risco de conformidade. A questão não é "usar ou não o DingTalk", mas sim "como usá-lo".
Para onde vão os dados? Ninguém te diz
O núcleo do DingTalk é suportado pela Alibaba Cloud, e todos os dados acabam sendo armazenados em data centers localizados em Zhangjiakou e Heyuan, na China continental, estando sob a supervisão do Sistema de Proteção de Segurança da Rede Nível 2.0. Isso significa que, mesmo sendo uma empresa de Macau, assim que envolve transferências transfronteiriças, as autoridades continentais podem, de acordo com a lei, requisitar esses dados, algo de que a sua gestão talvez nem sempre tenha conhecimento imediato.
A Alibaba Cloud atende aos requisitos do nível 2 de proteção, incluindo a manutenção de registros de operações por seis meses e testes regulares de penetração; no entanto, essa responsabilidade de conformidade não é automaticamente transferida para você. Você ainda precisa cumprir independentemente as obrigações impostas pela PIPL, como informar os titulares dos dados, obter seu consentimento e responder às suas solicitações. Uma pesquisa realizada em 2024 mostrou que mais de 60% das empresas de Hong Kong e Macau acreditavam erroneamente que "a conformidade da plataforma equivale à conformidade da própria empresa"; na realidade, em caso de incidente, a responsabilidade caberá diretamente a você.
Em resumo: no momento em que você clica em "enviar arquivo", a responsabilidade legal já surge. Em vez de pensar em como transferir a culpa, é melhor projetar desde o início mecanismos de proteção adequados.
Quais setores são mais vulneráveis
Agentes de jogos, comércio eletrônico transfronteiriço e instituições médicas estão entre os mais expostos — esses setores costumam transmitir por meio do DingTalk informações sobre movimentação de clientes, registros de compras e características biométricas, tudo considerado "informação pessoal sensível" segundo a PIPL. De acordo com o Artigo 28, é obrigatório obter "consentimento específico" e realizar uma avaliação de impacto sobre a privacidade (PIA).
Na prática, o que acontece? Visitamos uma subsidiária de uma empresa de jogos que foi convocada para correções após utilizar o DingTalk para enviar dados sobre entrada e saída de clientes VIP, bem como seus hábitos de consumo. O custo único de conformidade superou 200 mil dólares de Hong Kong, incluindo auditorias, honorários de advogados e perdas decorrentes da interrupção das operações. Ainda mais alarmante é que 78% das empresas entrevistadas sequer haviam implementado recursos de identificação de dados sensíveis, desconhecendo até mesmo o que estavam transmitindo.
Quando o DingTalk cria automaticamente redes de interação entre funcionários e clientes, na verdade já está ultrapassando a linha vermelha relacionada à "perfilar usuários". Setores de alto risco começaram a migrar para plataformas de colaboração localizadas ou a adotar módulos de computação de borda, cortando diretamente os fluxos de dados sensíveis para fora da região.
Quatro passos para conter os riscos sem precisar desativar
Bloquear completamente o DingTalk? Não é prático. Em vez disso, é possível construir quatro camadas de defesa:
- Nível contratual: Assine o Contrato Padrão para Transferência Internacional de Informações Pessoais (SCC) emitido pela Administração Nacional de Ciberespço da China, legitimando as transferências transfronteiriças. O período de transição dura apenas seis meses; depois disso, será impossível.
- Nível técnico: Ative o "Modo de Confidencialidade" e a opção "Desabilitar Download" no DingTalk para evitar vazamentos de dados; além disso, integre um sistema de etiquetagem de classificação de dados para bloquear automaticamente mensagens contendo palavras-chave como "número de identidade" ou "registros médicos".
- Nível de processos: Incorpore os requisitos do SCC nos fluxos de aprovação do OA, exigindo, por exemplo, que uma notificação de consentimento apareça obrigatoriamente antes do upload de arquivos sensíveis.
- Nível de monitoramento: Conecte-se à API do DingTalk para configurar alertas de comportamentos anômalos, como downloads em massa em curto espaço de tempo ou acessos fora do horário comercial, aumentando a capacidade de resposta em 60%.
Uma instituição financeira de médio porte implementou esse conjunto de medidas e viu sua pontuação de preparação para conformidade subir de 42 para 85 pontos, reduzindo os custos de auditoria em 30%. O mais importante é que esse modelo pode ser replicado para outras ferramentas SaaS, evitando a necessidade de começar do zero toda vez que se integra uma nova plataforma.
Conclua a conformidade básica em três meses
A partir de agora, siga cinco etapas:
- Realize um inventário dos tipos de dados atualmente processados pelo DingTalk, especialmente se envolvem informações de residentes da China continental.
- Identifique cenários de alto risco, como aprovações financeiras, comunicação com clientes e gestão de recursos humanos.
- Colabore com a equipe jurídica para concluir a assinatura do SCC dentro de 90 dias.
- Implemente controles técnicos, como classificação de dados e bloqueios automáticos.
- Organize um treinamento para todos os funcionários, garantindo que compreendam quais dados não devem ser compartilhados indiscriminadamente.
Em média, são necessárias 12 semanas e cerca de 150 mil dólares de Hong Kong para estabelecer uma estrutura básica de conformidade. Comparado às multas previstas pela PIPL, que podem chegar a 5% do faturamento anual da empresa, esse investimento oferece um retorno superior a 10:1. Mais importante ainda, esse modelo de PIA já foi adotado por algumas instituições licenciadas na Grande Baía Guangdong–Hong Kong–Macau, tornando-se uma ferramenta estratégica que conecta TI, jurídico e operações comerciais.
A conformidade deixou de ser um centro de custo e passou a ser um ativo fundamental para construir confiança junto aos clientes e fortalecer a competitividade no mercado transfronteiriço. A maneira como você lida com os dados hoje determinará o espaço que terá amanhã para se estabelecer na Grande Baía.
A DomTech é o provedor oficial e designado do DingTalk em Macau, especializado em fornecer serviços do DingTalk para uma ampla base de clientes. Se desejar saber mais sobre as aplicações da plataforma DingTalk, entre em contato com nosso atendimento online ou ligue para +852 95970612, ou envie um e-mail para cs@dingtalk-macau.com. Contamos com uma excelente equipe de desenvolvimento e operação, com vasta experiência no mercado, capaz de oferecer soluções e serviços profissionais do DingTalk!