Acordo de tratamento de dados

A Controladora decide por que e como os dados são tratados: escolhe quais empresas monitorar, envia os certificados, autoriza os eventos junto às fontes oficiais, define quem da sua equipe e quais clientes acessam cada informação e usa as informações para a sua atividade.

A Operadora executa o tratamento conforme essas instruções, que são dadas por meio da própria plataforma (cadastro, configurações, botões e API) e por este Acordo. A Operadora não trata os dados para finalidade própria, salvo o que a lei exigir, e informará a Controladora se entender que uma instrução viola a legislação.

Quando a Controladora monitora empresas de terceiros (os seus clientes), cabe a ela ter com cada Titular do CNPJ a base contratual e as autorizações necessárias. A Operadora não tem relação direta com esses terceiros, exceto no portal do cliente, onde dá acesso a pessoas que a Controladora indicar.

Categorias de dados: dados de identificação e contato de pessoas físicas presentes em documentos fiscais (emitentes, destinatários, transportadores, tomadores e prestadores pessoa física, e nomes de contato); dados de sócios e administradores obtidos de cadastros públicos; dados de contato dos clientes da Controladora; dados de acesso das pessoas convidadas ao portal do cliente; certificados digitais A1 e senhas, que identificam a pessoa jurídica e, no caso de titulares pessoa física, a pessoa.

Titulares: os clientes da Controladora e as pessoas ligadas a eles; as contrapartes das operações registradas nos documentos fiscais; as pessoas da equipe da Controladora (quanto aos registros de auditoria); as pessoas com acesso ao portal.

Finalidades: captura, guarda, organização e exibição de documentos e informações fiscais; registro dos eventos autorizados junto às fontes oficiais; emissão e guarda de certidões; geração de avisos e relatórios; envio de comunicações aos clientes da Controladora a pedido dela; disponibilização por API; e as demais funções do plano contratado.

Natureza e duração: tratamento automatizado e contínuo, pelo tempo de vigência da Conta, com cópias de segurança diárias e exclusão ao fim, conforme a seção 9.

• tratar os dados apenas para as finalidades deste Acordo e conforme as instruções da Controladora;
• garantir que as pessoas autorizadas a tratar os dados estejam obrigadas à confidencialidade e tenham acesso restrito ao mínimo necessário; a equipe da Operadora não lê os dados das Contas no curso normal da operação, e o acesso para suporte só acontece a pedido da Controladora e fica registrado;
• adotar as medidas de segurança descritas na seção 5, em especial o cofre cifrado dos certificados, o isolamento entre Contas e o registro de cada uso de certificado;
• usar o certificado digital da Empresa monitorada exclusivamente para consultar as fontes oficiais e registrar os eventos autorizados nos Termos de Uso, nunca o devolvendo em claro e nunca o usando para outro fim;
• auxiliar a Controladora, na medida do possível e por meio das funções da plataforma, a atender pedidos de titulares e obrigações de segurança, de avaliação de impacto e de comunicação de incidentes;
• comunicar incidentes de segurança conforme a seção 7;
• só contratar suboperadores nas condições da seção 6;
• ao término do Acordo, excluir ou devolver os dados conforme a seção 9, salvo o que a lei obrigar a guardar;
• disponibilizar as informações necessárias para demonstrar o cumprimento deste Acordo e permitir auditorias conforme a seção 8;
• manter registro das operações de tratamento, como exige o art. 37 da LGPD.

A Operadora mantém, no mínimo, as seguintes medidas técnicas e organizacionais:

• Cofre de credenciais: certificados A1 e senhas cifrados com criptografia de envelope (chave por Conta, cifrada por uma chave mestra); decifrados apenas pelo serviço interno de captura, na memória e no momento da consulta; nenhuma interface os devolve.
• Isolamento entre Contas: política de segurança em nível de linha no banco de dados, do tipo “fechado por padrão”, de modo que uma consulta sem o contexto da Conta não devolve dado algum.
• Registro de uso do certificado: fonte, finalidade, empresa e data e hora de cada uso, visíveis à Controladora.
• Controle de acesso: papéis e permissões por módulo e ação, carteira de empresas por pessoa, sessões curtas com renovação, verificação em duas etapas, limite de tentativas de login e registro de auditoria.
• Transporte e repouso: HTTPS em todo o tráfego; conexões autenticadas por certificado (mTLS) com as fontes oficiais; cópias de segurança diárias em armazenamento separado e de acesso restrito, com os certificados ainda cifrados.
• Processo: revisão de segurança a cada mudança no cofre e nas regras de isolamento; testes automatizados de vazamento entre Contas; separação entre o serviço que atende a tela e o que fala com as fontes oficiais.

A descrição atualizada e em linguagem acessível está em Segurança.

A Controladora autoriza a Operadora a contratar os suboperadores abaixo, que tratam dados apenas na medida necessária ao serviço e sob contrato com obrigações equivalentes às deste Acordo:

• provedor de hospedagem dos servidores de aplicação e banco de dados;
• provedor de armazenamento em nuvem das cópias de segurança (Microsoft);
• provedor de envio de e-mails transacionais (Microsoft);
• provedor de automação para envio de mensagens por WhatsApp, apenas quando a Controladora liga esse canal, com o rótulo combinado com ela;
• provedor de pagamento, para a cobrança da assinatura;
• provedor de modelos de inteligência artificial (Anthropic), apenas nas funções do fiscalPLUS que a Controladora usar, sem uso dos dados para treinamento de modelos.

A inclusão ou a troca de um suboperador será comunicada à Controladora com pelo menos 15 dias de antecedência, por e-mail ou na plataforma. Se a Controladora não concordar, poderá encerrar a Conta sem ônus antes da mudança valer. As fontes oficiais (SEFAZ, Ambiente de Dados Nacional da NFS-e, Receita Federal e outras) não são suboperadoras: são órgãos consultados em nome da Empresa monitorada.

A Operadora comunicará à Controladora, pelo e-mail do administrador da Conta e sem demora injustificada, em até 48 horas após tomar conhecimento, qualquer incidente de segurança que possa acarretar risco ou dano relevante aos titulares, com a descrição do ocorrido, dos dados e titulares afetados, das medidas tomadas e das recomendações. Caberá à Controladora, como controladora, avaliar e fazer a comunicação à ANPD e aos titulares (LGPD, art. 48), com o apoio da Operadora. Quando a Operadora também for controladora dos dados afetados, fará a comunicação que lhe couber.

A Operadora manterá disponíveis à Controladora, na própria plataforma, os registros de auditoria da Conta e de uso dos certificados. Mediante pedido fundamentado, com antecedência mínima de 15 dias e no máximo uma vez por ano (salvo após incidente), a Operadora responderá a questionários de segurança e, se necessário, permitirá auditoria por terceiro independente e sob confidencialidade, limitada ao que diz respeito à Conta e sem acesso a dados de outras Contas.

Com o encerramento da Conta, a Controladora tem 30 dias para exportar os seus dados pelas funções da plataforma. Depois disso, a Operadora exclui os dados da Conta, inclusive os certificados do cofre, e as cópias de segurança que os contenham são sobrescritas no ciclo normal de retenção.

A Operadora pode manter o que a lei obrigar a guardar (por exemplo, registros de acesso e dados de cobrança), pelo prazo legal e apenas para essa finalidade.

• ter base legal e, quando aplicável, contrato com cada Titular do CNPJ para o tratamento feito por meio da plataforma;
• obter a autorização do Titular do CNPJ para o envio do certificado digital, para o registro automático da Ciência da Operação e para qualquer manifestação do destinatário, e mantê-la enquanto o certificado estiver na plataforma;
• dar instruções lícitas e usar a plataforma conforme os Termos de Uso;
• gerir os acessos da sua equipe e do portal do cliente, removendo quem não deve mais acessar;
• atender os pedidos dos titulares cujos dados trata e responder perante eles e a ANPD como controladora;
• manter atualizado o e-mail do administrador da Conta, que é o canal das comunicações deste Acordo.

Este Acordo prevalece sobre os Termos de Uso no que diz respeito ao tratamento de dados pessoais. Alterações seguem a regra dos Termos de Uso. Para dúvidas sobre este Acordo, o canal é o encarregado de dados: [email protected].

Aplicam-se as leis brasileiras e o foro eleito nos Termos de Uso.