Anexo de Tratamento de Dados Pessoais

Data Processing Agreement, celebrado nos termos da Lei 13.709/2018 (LGPD) e integrado ao Contrato de Prestação de Serviços da plataforma Firmum. Modelo: as linhas em branco são preenchidas na contratação.

Partes

1. Definições e papéis

1.1. Os termos dado pessoal, titular, tratamento, controlador, operador, encarregado e incidente de segurança têm o significado atribuído pela LGPD.

1.2. O Controlador toma as decisões sobre as finalidades e os meios essenciais do tratamento dos dados pessoais de seus clientes, contatos comerciais e usuários que insere ou faz transitar na plataforma.

1.3. O Operador trata esses dados pessoais em nome do Controlador, segundo as instruções documentadas neste Anexo e no Contrato, sem finalidade própria.

1.4. Quanto aos dados de cadastro, faturamento, administração da conta, segurança e registros de acesso do próprio serviço, o Operador atua como controlador, conforme sua Política de Privacidade.

2. Objeto e ordem de prevalência

2.1. Este Anexo regula o tratamento de dados pessoais realizado pelo Operador na prestação dos serviços descritos no Anexo A.

2.2. Havendo conflito entre este Anexo, o Contrato, os Termos de Uso ou qualquer política publicada no site do Operador, quanto a tratamento de dados pessoais prevalece este Anexo. Nas demais matérias prevalece o Contrato.

3. Instruções e limites do tratamento

3.1. O Operador trata os dados pessoais apenas para executar os serviços, prestar suporte, garantir segurança e cumprir obrigação legal, e somente pelo tempo necessário.

3.2. O Operador não usa o conteúdo da operação do Controlador para treinar modelos próprios de inteligência artificial. O tratamento por provedores terceiros observa os termos e as configurações contratadas com cada um, listados no Anexo C.

3.3. O Operador informará o Controlador se, na sua avaliação, uma instrução recebida infringir a legislação de proteção de dados, podendo suspender a execução daquela instrução até o esclarecimento.

3.4. Cabe ao Controlador garantir base legal adequada para os dados que insere na plataforma e para a comunicação com seus clientes pelo WhatsApp, bem como prestar a informação devida aos titulares.

4. Confidencialidade e pessoal autorizado

4.1. O acesso aos dados é restrito ao pessoal que precisa dele para executar o serviço, submetido a obrigação de confidencialidade que subsiste ao fim do vínculo.

4.2. O Operador mantém registro dos acessos administrativos ao ambiente do Controlador. Cada entrada da equipe de suporte no painel do Controlador aparece para ele na página Atividades, com data e hora.

5. Segurança da informação

5.1. O Operador adota as medidas técnicas e organizacionais descritas no Anexo D, podendo atualizá-las desde que não reduza o nível de proteção então vigente.

6. Suboperadores

6.1. O Controlador autoriza o uso dos suboperadores listados no Anexo C, cada um vinculado por contrato a obrigações de proteção de dados não menos protetivas que as deste Anexo.

6.2. O Operador pode incluir ou substituir suboperadores, comunicando o Controlador com pelo menos 30 dias de antecedência, por e-mail ou aviso na plataforma.

6.3. O Controlador pode se opor de forma fundamentada, em razão de proteção de dados, dentro de 15 dias do aviso. As partes buscarão alternativa técnica e, não havendo solução viável, o Controlador pode rescindir a parte afetada do serviço sem multa.

6.4. Substituição urgente por motivo de segurança, indisponibilidade ou exigência legal pode ocorrer com aviso imediato, sem o prazo prévio do item 6.2.

7. Transferência internacional

7.1. Parte do tratamento pode ocorrer fora do Brasil, conforme indicado no Anexo C, hipótese em que o Operador adota as salvaguardas admitidas pela LGPD e pela regulamentação da ANPD, incluindo cláusulas contratuais de proteção com o fornecedor.

8. Direitos dos titulares

8.1. O Operador disponibiliza no produto os recursos necessários para o Controlador atender pedidos de confirmação de tratamento, acesso, correção, anonimização, portabilidade, exclusão, informação sobre compartilhamento e revogação de consentimento.

8.2. Pedido de titular recebido diretamente pelo Operador é encaminhado ao Controlador em até 5 dias úteis, sem resposta de mérito, salvo determinação legal.

9. Incidentes de segurança

9.1. O Operador comunica o Controlador sem demora injustificada após tomar conhecimento de incidente que afete os dados tratados em seu nome, e coopera conforme o procedimento do Anexo E, incluindo o fornecimento das informações necessárias à comunicação à ANPD e aos titulares. A decisão sobre comunicar é do Controlador, na qualidade de controlador daqueles dados.

10. Evidências, auditoria e cooperação

10.1. A verificação de conformidade observa a seguinte ordem: primeiro, questionário de segurança respondido pelo Operador, acompanhado das políticas internas e dos relatórios e certificados disponíveis; segundo, reunião técnica com a equipe responsável, se as respostas não bastarem; terceiro, auditoria independente, remota ou presencial, apenas quando houver motivo razoável não resolvido nas etapas anteriores ou após incidente relevante.

10.2. A auditoria do item 10.1 observa: aviso prévio de 30 dias; no máximo uma vez por ano, salvo incidente relevante ou exigência de autoridade; realização em horário comercial; auditor sujeito a confidencialidade e sem conflito de interesse; escopo limitado ao ambiente do Controlador, sem acesso a dados de outros clientes; vedação a testes invasivos, de intrusão ou de carga sem autorização prévia e escrita; e execução que não comprometa a segurança, a disponibilidade ou o sigilo da operação.

10.3. Custos de auditoria são do Controlador, incluindo o reembolso das horas extraordinárias do Operador quando a verificação exceder o esforço razoável das etapas de evidência.

10.4. O Operador coopera com o Controlador na elaboração de relatório de impacto à proteção de dados e no atendimento a requisições de autoridade, fornecendo as informações sob seu controle.

11. Encerramento, devolução e exclusão

11.1. Encerrado o Contrato, aplica-se o procedimento do Anexo F, com janela de exportação em formato aberto e posterior exclusão ou anonimização, ressalvadas as hipóteses de guarda obrigatória por lei.

12. Responsabilidade

12.1. Cada parte responde por suas obrigações de proteção de dados na forma da LGPD e da regulamentação da ANPD. Os limites de responsabilidade previstos no Contrato não se aplicam a essa responsabilidade, nem a dolo ou fraude.

12.2. A parte que der causa a tratamento irregular ressarcirá a outra pelos valores comprovadamente despendidos em indenizações, sanções administrativas e defesa, na proporção de sua contribuição para o dano.

13. Vigência, alterações e foro

13.1. Este Anexo vigora enquanto houver tratamento de dados pessoais em razão do Contrato, e as obrigações de confidencialidade e de exclusão subsistem ao seu término.

13.2. Alteração relevante depende de aditivo assinado pelas partes, salvo atualização dos Anexos C e D, que segue o procedimento dos itens 6.2 e 5.1.

13.3. Aplica-se a lei brasileira, com foro da comarca da sede do Operador.

Anexo A · Objeto, duração e finalidade

Descrição do tratamento realizado pelo Operador em nome do Controlador.

Anexo B · Categorias de dados e de titulares

Dados tratados pelo Operador na qualidade de operador.

O serviço não é destinado ao tratamento de dados pessoais sensíveis nem de dados de crianças e adolescentes. O Controlador se compromete a não inserir dados dessas categorias na plataforma sem acordo prévio e escrito.

Anexo C · Suboperadores

Lista vigente na data deste Anexo, atualizável conforme o item 6.

A versão vigente desta lista fica em firmum.com.br/privacidade#fornecedores e pode ser solicitada ao encarregado. Integrações com ERP ou emissor fiscal entram nesta lista quando contratadas.

Anexo D · Medidas técnicas e organizacionais

Medidas vigentes, revisáveis sem redução do nível de proteção.

Anexo E · Procedimento de incidente e cooperação

1. Detecção e contenção imediata, com registro de data, hora e responsável.
2. Aviso ao Controlador sem demora injustificada após a confirmação do incidente, pelo canal indicado no Contrato.
3. Envio das informações disponíveis: descrição do ocorrido, categorias de dados e de titulares afetados, número aproximado de titulares, riscos envolvidos, medidas de contenção e mitigação e contato técnico responsável.
4. Complementação das informações à medida que a apuração avança, sem aguardar a conclusão para o primeiro aviso.
5. Apoio ao Controlador na avaliação de risco e na comunicação à ANPD e aos titulares, cuja decisão e responsabilidade são do Controlador.
6. Relatório final com causa raiz e plano de ação, em até 30 dias do encerramento do incidente.
7. Nenhuma comunicação pública que identifique o Controlador é feita sem alinhamento prévio, salvo exigência legal.

Canal de incidentes do Operador: · Canal do Controlador:

Anexo F · Exclusão e devolução no encerramento

Encerrado o Contrato, o Operador mantém os dados acessíveis por 30 dias para exportação, disponibiliza catálogo, cadastro de clientes, conversas, orçamentos e pedidos em formato aberto e legível por máquina, e depois elimina ou anonimiza a base, confirmando por escrito a conclusão.

Dados sob guarda obrigatória ficam com acesso restrito e não são usados para outra finalidade. A pedido do Controlador, a exportação pode ser antecipada ou repetida durante a vigência do Contrato.