Nesta página
Partes e objeto
Este Acordo de Tratamento de Dados Pessoais (“Acordo”) é celebrado entre a empresa que contrata o Autiun(“Cliente”, controlador) e o Autiun (operador). Ele regula o tratamento dos dados pessoais que o Cliente envia ou conecta ao serviço, em cumprimento ao art. 39 da Lei 13.709/2018 (“LGPD”).
O Acordo integra os Termos de Uso. Em conflito sobre proteção de dados pessoais, prevalece este Acordo. O aceite é feito pelo representante do Cliente no sistema e fica registrado com data, versão e usuário.
Definições
Os termos “dado pessoal”, “titular”, “tratamento”, “controlador”, “operador”, “encarregado”, “incidente de segurança” e “ANPD” têm o significado dado pela LGPD e pela regulamentação da Autoridade Nacional de Proteção de Dados. “Suboperador” é o fornecedor contratado pelo Autiun que trata dados pessoais do Cliente.
Descrição do tratamento
| Finalidade | Gerar painéis, relatórios, alertas e ferramentas de análise para a gestão do Cliente, e prestar suporte |
|---|---|
| Natureza | Recebimento, armazenamento, organização, cálculo, exibição, exportação a pedido do Cliente e eliminação |
| Titulares | Clientes, vendedores e demais colaboradores, fornecedores pessoa física e contatos do Cliente |
| Dados | Identificação e contato (nome, CPF/CNPJ, telefone, e-mail, endereço), histórico de compras e vendas, valores a receber e a pagar, metas e desempenho comercial |
| Dados sensíveis | Não previstos. O Cliente não deve enviá-los |
| Duração | Enquanto durar o contrato, mais o prazo de devolução e eliminação da cláusula “Fim do tratamento” |
Instruções do Cliente
O Autiun trata os dados pessoais somente conforme as instruções documentadas do Cliente. São instruções: estes documentos, as configurações feitas pelo Cliente no sistema e os pedidos registrados no suporte.
O Autiun não usa os dados do Cliente para finalidade própria, não os vende, não os cruza com dados de outros clientes e não os usa para treinar modelos. Se uma instrução lhe parecer contrária à LGPD, o Autiun avisará o Cliente e poderá deixar de cumpri-la.
Confidencialidade
Só têm acesso aos dados do Cliente as pessoas do Autiun que precisam deles para prestar o serviço, todas sujeitas a dever de sigilo. O acesso da equipe de suporte ao ambiente do Cliente depende de autorização do dono da conta, dura até 24 horas e fica registrado. O dever de sigilo continua após o fim do contrato.
Segurança
O Autiun mantém as medidas técnicas e administrativas descritas no Anexo de segurança, adequadas aos riscos do tratamento (arts. 46 e 47 da LGPD), e pode atualizá-las desde que o nível de proteção não diminua.
Suboperadores
O Cliente autoriza o Autiun a contratar os suboperadores listados em Suboperadores. Cada um é contratado por escrito, com obrigações de proteção de dados equivalentes às deste Acordo, e o Autiun continua responsável perante o Cliente pelo que eles fizerem.
A inclusão ou troca de suboperador será avisada com pelo menos 30 dias de antecedência. Se o Cliente tiver motivo razoável relacionado à proteção de dados para se opor e não houver alternativa, poderá encerrar o contrato sem multa.
Transferência internacional
Alguns suboperadores ficam fora do Brasil, conforme a lista de suboperadores. O Autiun só realiza transferência internacional com um dos mecanismos do art. 33 da LGPD e fornecerá ao Cliente as informações e documentos necessários para que ele cumpra suas obrigações de transparência.
Direitos dos titulares
Se um titular pedir ao Autiun algo sobre dados do Cliente, o Autiun encaminhará o pedido ao Cliente em até 2 dias úteis e informará ao titular que o pedido foi repassado, sem respondê-lo diretamente, salvo instrução do Cliente. O Autiun ajudará o Cliente a atender os pedidos com as ferramentas do sistema (consulta, exportação) e, quando elas não bastarem, com apoio do suporte.
Incidentes de segurança
O Autiun avisará o Cliente em até 48 horas depois de confirmar um incidente de segurança que envolva dados pessoais do Cliente, com as informações disponíveis sobre:
- o que aconteceu, quando e como foi descoberto;
- os tipos de dados e o número aproximado de titulares afetados;
- os riscos prováveis;
- as medidas tomadas para conter o incidente e reduzir os danos;
- o contato de quem está cuidando do caso.
As informações que faltarem serão enviadas assim que obtidas. A comunicação à ANPD e aos titulares cabe ao Cliente, como controlador; o Autiun dará o apoio necessário para que ela seja feita no prazo.
Apoio ao Cliente
O Autiun fornecerá as informações razoavelmente necessárias para o Cliente elaborar relatórios de impacto, responder à ANPD e demonstrar conformidade com a LGPD, e manterá registro das operações de tratamento que realiza em nome do Cliente (art. 37).
Fim do tratamento
Com o fim do contrato, o Cliente pode pedir a exportação dos seus dados em até 60 dias. Depois disso, o Autiun elimina os dados pessoais do Cliente, inclusive arquivos anexados; as cópias de segurança são sobrescritas no ciclo normal de retenção do provedor. A pedido, o Autiun confirmará a eliminação por escrito. Ficam guardados apenas os dados que a lei obrigar, pelo prazo legal.
Verificação
O Autiun responderá a questionários de segurança e privacidade do Cliente uma vez por ano, ou após um incidente. Verificações adicionais podem ser combinadas com 30 dias de antecedência, em horário comercial, sem acesso a dados de outros clientes, com custos por conta do Cliente.
Responsabilidade
Cada parte responde pelos danos que causar por descumprir a LGPD ou este Acordo, conforme os arts. 42 a 45 da LGPD. As limitações de responsabilidade dos Termos de Uso se aplicam no que a lei permitir.
Anexo de segurança
- Conexões sempre criptografadas (HTTPS/TLS) e cabeçalhos de segurança no navegador.
- Dados cifrados em repouso pelos provedores de banco de dados e de arquivos.
- Isolamento dos dados de cada cliente no próprio banco de dados (segurança por linha), com testes automatizados.
- Senhas guardadas com argon2id; nenhuma pessoa do Autiun conhece a senha de um usuário.
- Verificação em duas etapas por aplicativo autenticador, com códigos de recuperação.
- Sessões com expiração, encerradas ao trocar a senha ou desativar o usuário, e visíveis ao próprio usuário.
- Limite de tentativas de login por e-mail e por endereço IP.
- Perfis de acesso por tela definidos pelo gestor do Cliente.
- Acesso da equipe de suporte somente com autorização do dono da conta, limitado a 24 horas e registrado.
- Registros de acesso guardados por 6 meses e apagados em seguida.
- Ambientes de desenvolvimento e produção separados, com bancos de dados distintos.
- Cópias de segurança automáticas do banco de dados pelo provedor.
- Monitoramento de erros sem envio de dados de identificação dos usuários.
- Plano de resposta a incidentes e registro de incidentes.