Acordo de Tratamento de Dados
O que o Vendal faz, como operador, com os dados pessoais que cada loja cadastra, como os de clientes, da equipe e do contador.
Nesta página 15 seções
Em poucas palavras
- Vale para os dados pessoais que a loja cadastra no Vendal, como os de clientes, da equipe e do contador.
- A loja decide o que cadastrar e para quê (controladora). Nós executamos em nome dela (operadora), só para prestar o serviço.
- Avisamos a loja de incidentes de segurança, ajudamos a atender os pedidos dos titulares e apagamos os dados no fim do contrato.
Partes e papéisLink para a seção “Partes e papéis”
Este acordo faz parte dos Termos de Uso e vale entre a loja, que é a controladora dos dados pessoais que cadastra, e DANIEL G DE M FARIAS SISTEMAS, nome fantasia Transforme Tech Digital, CNPJ 57.815.691/0001-07 (“nós”), que é a operadora desses dados, nos termos do art. 5º, VI e VII, e do art. 39 da Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018).
Para os dados da conta de quem usa o sistema, do uso e da segurança, somos controladores, e vale a Política de Privacidade.
Objeto e duraçãoLink para a seção “Objeto e duração”
Tratamos os dados pessoais cadastrados pela loja apenas para prestar o serviço do Vendal: guardar, organizar, mostrar, calcular, enviar quando a loja manda e fazer cópias de segurança. Este acordo vale enquanto a loja usar o sistema e continua valendo para o que precisarmos guardar depois, até a exclusão.
Dados e titularesLink para a seção “Dados e titulares”
| Titulares | Dados | Para quê |
|---|---|---|
| Clientes da loja | Nome, e-mail, telefone, CPF, endereço, data de nascimento e histórico de compras | Vender, enviar comprovante, emitir documento fiscal e consultar o histórico |
| Equipe da loja | Nome, e-mail, papel, permissões e o que cada pessoa fez no sistema | Dar acesso e registrar quem fez cada operação |
| Contador convidado | Nome, e-mail e acesso liberado | Dar ao contador o acesso que a loja escolher |
| Outras pessoas cadastradas pela loja | Os dados que a loja registrar, como os de um fornecedor pessoa física | O uso que a loja fizer dessas funções |
A loja não deve cadastrar dados pessoais sensíveis nem dados de crianças sem base legal adequada.
Instruções da lojaLink para a seção “Instruções da loja”
Tratamos os dados conforme as instruções da loja, que são as configurações e as ações que ela faz no sistema, estes termos e os pedidos que ela nos envia por escrito. Se uma instrução parecer contrária à lei, avisaremos a loja antes de cumpri-la.
ConfidencialidadeLink para a seção “Confidencialidade”
Só acessam os dados as pessoas da nossa equipe que precisam disso para prestar o serviço, dar suporte pedido pela loja ou cuidar da segurança, e todas têm dever de sigilo.
SegurançaLink para a seção “Segurança”
Adotamos medidas técnicas e administrativas para proteger os dados (art. 46 da LGPD), entre elas:
- conexões cifradas (HTTPS) e dados cifrados nos servidores;
- separação entre lojas conferida pelo servidor a cada pedido, com teste no sistema publicado;
- permissões por pessoa, definidas pela loja;
- segredos e chaves guardados fora do código, com acesso restrito;
- autorização do Gmail de cada loja cifrada com AES-256 e chave à parte;
- certificado digital guardado separado e nunca enviado ao navegador;
- histórico das operações e cópias de segurança automáticas, na região de São Paulo.
SuboperadoresLink para a seção “Suboperadores”
A loja autoriza o uso dos suboperadores abaixo. Antes de incluir ou trocar um suboperador, avisaremos a loja com pelo menos 15 dias de antecedência. Se ela discordar por um motivo ligado à proteção de dados, pode cancelar sem multa antes da mudança.
| Suboperador | O que faz | Onde |
|---|---|---|
| Google (Google Cloud e Firebase) | Hospedagem, banco de dados, arquivos, login, servidores, cópias de segurança e registros técnicos | Banco de dados e arquivos no Brasil (São Paulo). Login e registros técnicos podem ser tratados em outros países |
| Google (Gmail) | Envio dos e-mails que a loja manda enviar, pela conta Gmail que ela conectou | Servidores do Google |
| ViaCEP e BrasilAPI | Consulta de endereço pelo CEP. Recebem apenas o CEP | Brasil |
A Secretaria da Fazenda recebe os documentos fiscais por exigência legal, não como suboperadora. O contador recebe o acesso que a própria loja liberar.
Transferência internacionalLink para a seção “Transferência internacional”
Quando um suboperador trata dados fora do Brasil, a transferência segue o art. 33 da LGPD e conta com as garantias contratuais que ele oferece. A lista acima diz onde cada um atua.
Pedidos dos titularesLink para a seção “Pedidos dos titulares”
Se um cliente da loja nos pedir algo sobre os próprios dados, encaminharemos o pedido à loja em até 2 dias úteis e não responderemos diretamente sem a orientação dela, a não ser quando a lei exigir. Ajudaremos a loja a atender confirmação, acesso, correção, portabilidade e eliminação, usando as funções do sistema ou, quando elas não bastarem, a nossa equipe.
Incidentes de segurançaLink para a seção “Incidentes de segurança”
Se confirmarmos um incidente que atinja dados da loja, avisaremos a loja sem demora, em até 48 horas, com o que soubermos:
- o que aconteceu e quando;
- quais dados e quais pessoas podem ter sido afetados;
- as medidas tomadas e as que recomendamos;
- os riscos envolvidos.
Também ajudaremos a loja a comunicar a ANPD e as pessoas afetadas no prazo da regulamentação (Resolução CD/ANPD nº 15/2024).
Relatórios e fiscalizaçãoLink para a seção “Relatórios e fiscalização”
A pedido da loja, forneceremos as informações de que ela precisar para elaborar relatórios de impacto à proteção de dados e para responder à ANPD sobre o tratamento que fazemos em nome dela.
Fim do contratoLink para a seção “Fim do contrato”
Depois do encerramento, a loja tem 90 dias para pedir uma cópia dos dados. Em seguida, excluímos ou anonimizamos os dados em até 30 dias, inclusive o certificado digital, menos o que a lei nos obrigar a guardar. As cópias de segurança vencem sozinhas em até 14 semanas.
Comprovação e auditoriaLink para a seção “Comprovação e auditoria”
A pedido, mostraremos as informações necessárias para comprovar o cumprimento deste acordo. A loja pode pedir uma auditoria por ano, com 30 dias de antecedência e sigilo garantido. A auditoria não pode dar acesso a dados de outras lojas nem pôr a segurança do sistema em risco, e o custo é de quem a pedir.
Responsabilidade e prevalênciaLink para a seção “Responsabilidade e prevalência”
Cada parte responde pelos danos que causar ao descumprir a LGPD ou este acordo, nos termos dos arts. 42 a 45 da LGPD. Se este acordo e os Termos de Uso disserem coisas diferentes sobre proteção de dados, vale este acordo.