Anexo de tratamento de dados

Este anexo integra os termos de uso e vale para toda organização que assina o CSS 4 Everyone. Ele descreve, para efeito da Lei 13.709/2018, como tratamos os dados pessoais que passam pelo sistema a mando de quem contrata.

1. Papéis

• Controlador: a organização que assina. É ela quem decide atender por WhatsApp, quais campos criar, o que perguntar e por quanto tempo guardar.
• Operador: Bruno Vilela Magalhaes Tecnologia da Informacao LTDA, CNPJ 68.048.192/0001-40. Tratamos os dados apenas para prestar o serviço.
• Para os dados de cadastro e cobrança de quem assina, somos controladores, e isso está napolítica de privacidade.

2. Objeto, finalidade e duração

Tratamos os dados para receber, organizar e responder o atendimento da organização, agendar horário, enviar lembrete e produzir os relatórios do próprio painel dela. Nada além disso. O tratamento dura enquanto durar o contrato, mais os prazos do item 10.

3. Instruções do controlador

• Só tratamos conforme instrução do controlador, que é o próprio uso do produto e o pedido escrito.
• Nenhum dado de atendimento alimenta treinamento de modelo, estudo de mercado ou produto nosso.
• Se uma instrução parecer ilegal, avisamos por escrito e não executamos até ela ser revista.
• Acesso da nossa equipe ao conteúdo só acontece para resolver falha, e fica registrado.

4. Confidencialidade

Quem tem acesso técnico está sob dever de sigilo, que sobrevive ao fim do contrato. O acesso é dado pelo mínimo necessário e retirado quando deixa de ser preciso.

5. Medidas de segurança

• Conexão cifrada em todo acesso ao painel e à interface de programação.
• Senha guardada com algoritmo de hash próprio para senha, nunca em texto puro.
• Credencial de terceiro guardada cifrada, e nunca devolvida pela interface.
• Separação entre organizações garantida por filtro obrigatório em toda consulta ao banco.
• Acesso por papel e permissão, com cada pessoa vendo apenas a fila que lhe cabe.
• Registro de auditoria das ações sensíveis, com autor, data e alvo.
• Cópia de segurança diária do banco, com restauração testada.
• Prazo de retenção de anexo configurável pela própria organização.

6. Suboperadores

O controlador autoriza os suboperadores abaixo. Mudança na lista é avisada por e-mail com 30 dias de antecedência, e o controlador pode se opor por escrito — nesse caso, pode encerrar o contrato sem multa.

7. Transferência internacional

Parte da infraestrutura fica fora do Brasil. A transferência é necessária para executar o contrato e acontece sob as cláusulas contratuais de proteção de cada fornecedor. Quem precisar de tratamento apenas em território nacional deve falar com a gente antes de assinar.

8. Direitos dos titulares

• Quem responde ao titular é o controlador, porque é ele quem tem a relação com a pessoa.
• Pedido que chegue a nós é repassado ao controlador em até dois dias úteis, sem resposta nossa.
• O produto já entrega os meios: exportar o histórico, corrigir a ficha e apagar o histórico do contato.
• Se o controlador precisar de ajuda técnica para atender um pedido, ajudamos sem cobrar.

9. Incidente de segurança

• Avisamos o controlador sem demora, e em no máximo 48 horas depois de tomar conhecimento.
• O aviso diz o que aconteceu, que dados foram atingidos, quantos titulares e o que já foi feito.
• Quem comunica a Autoridade Nacional e os titulares é o controlador, com o nosso apoio técnico.
• Guardamos registro do incidente e da apuração.

10. Fim do contrato, devolução e exclusão

• Durante o contrato, o controlador exporta o que quiser, quando quiser, pelo próprio painel.
• Encerrado o contrato, os dados ficam disponíveis por 30 dias para exportação.
• Depois disso, apagamos em até 90 dias, ou antes, se o controlador pedir por escrito.
• Cópia de segurança expira pelo ciclo normal de retenção, em até 30 dias.
• O registro de auditoria sobrevive à exclusão do conteúdo, porque é ele que prova o que houve.

11. Prestação de contas

Uma vez por ano, ou quando houver mudança relevante, respondemos por escrito o questionário de segurança do controlador. Auditoria presencial é possível, combinada com 30 dias de antecedência, em horário comercial, sem acesso a dado de outra organização, e com o custo por conta de quem pede.

12. Responsabilidade

Cada parte responde pelo que decide e pelo que faz, nos termos dos artigos 42 a 45 da LGPD. Respondemos pelos danos causados por descumprimento nosso deste anexo ou por instrução do controlador que tenhamos executado fora do combinado.

13. Vigência

Este anexo vale enquanto durar o contrato principal e, no que trata de sigilo e exclusão, sobrevive a ele. Mudança relevante é avisada por e-mail com 30 dias de antecedência.